CVE-2026-13355 in AIO Plugin
Riassunto
di VulDB • 22/09/2026
Il plugin WordPress Meta Box AIO è vulnerabile a Privilege Escalation fino ad Administrator nelle versioni comprese fino alla 3.11.0, incluso. La causa di questa vulnerabilità risiede in un difetto concatenato: la funzione populate_via_query_string() nel componente mb-frontend-submission sovrascrive incondizionatamente l'oggetto target_id del modulo tramite il parametro GET 'rwmb_frontend_field_object_id', senza effettuare alcun controllo di autorizzazione, e Form::process() non include il controllo user_can_edit(), presente invece in render(). Ciò consente ad attaccanti non autenticati di modificare post_content di qualsiasi pagina inserendo uno shortcode arbitrario attraverso wp_update_post(); successivamente, il componente mb-user-profile si fida ciecamente degli attributi 'role' e 'auto_login' dello shortcode [mb_user_profile_register] iniettato, senza alcuna convalida del ruolo. Questo permette ad attaccanti non autenticati di elevare i propri privilegi fino a quelli di Administrator. Sono interessati anche i plugin standalone Meta Box Frontend Submission (nelle versioni fino alla 4.5.6) e Meta Box User Profile (nelle versioni fino alla 3.11.0).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.