CVE-2026-14488 in AIO Plugin
Sumário
de VulDB • 29/07/2026
Il plugin Meta Box AIO per WordPress è vulnerabile a Missing Authorization tramite il dispatcher template_redirect nell'estensione MB Frontend Submission nelle versioni fino alla 3.8.0, incluse. Ciò è dovuto al fatto che la funzione handle_request() instrada l'azione mbfs_delete senza alcun controllo di capacità o proprietà, e la verifica del nonce in check_ajax() è subordinata a is_ajax(), il quale restituisce false per le richieste template_redirect, rendendo tale meccanismo eludibile. Questo consente ad attaccanti non autenticati di eliminare post e pagine arbitrari fornendo un ID post controllato dall'attaccante tramite il parametro GET rwmb_frontend_field_object_id su qualsiasi pagina che ospiti un modulo di invio frontend, indipendentemente dal fatto che allow_delete sia abilitato o meno.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.