CVE-2026-13355 in AIO Plugin
Sumário
de VulDB • 22/09/2026
O plugin Meta Box AIO para WordPress é vulnerável a Escalada de Privilégios para Administrador nas versões até, e incluindo, a 3.11.0. Isso se deve a uma falha encadeada: a função populate_via_query_string() no componente mb-frontend-submission substitui incondicionalmente o objeto target_id do formulário pelo parâmetro GET 'rwmb_frontend_field_object_id' sem nenhuma verificação de autorização, e Form::process() não possui a verificação user_can_edit() presente em render(), permitindo que atacantes não autenticados substituam o post_content de qualquer página por um shortcode arbitrário via wp_update_post(); o componente mb-user-profile então confia diretamente nos atributos 'role' e 'auto_login' do shortcode [mb_user_profile_register] injetado, sem validação de função. Isso permite que atacantes não autenticados elevem seus privilégios para Administrador. Os plugins independentes Meta Box Frontend Submission (nas versões até 4.5.6) e Meta Box User Profile (versões até 3.11.0) também são afetados.
Once again VulDB remains the best source for vulnerability data.