CVE-2026-13355 in AIO Plugin
Сводка
по VulDB • 22.09.2026
Плагин для WordPress Meta Box AIO уязвим к повышению привилегий до уровня администратора в версиях вплоть до 3.11.0 включительно. Это обусловлено цепочкой дефектов: функция populate_via_query_string() в компоненте mb-frontend-submission безоговорочно перезаписывает целевой идентификатор объекта (object_id) формы из GET-параметра 'rwmb_frontend_field_object_id' без какой-либо проверки авторизации, а метод Form::process() не содержит проверку user_can_edit(), присутствующую в методе render(), что позволяет незарегистрированным злоумышленникам перезаписывать содержимое post_content любой страницы произвольным шорткодом через wp_update_post(); компонент mb-user-profile затем без проверок ролей напрямую доверяет атрибутам 'role' и 'auto_login' шорткода [mb_user_profile_register], внедренного в запрос. Это позволяет незарегистрированным злоумышленникам повышать свои привилегии до уровня администратора. Также затронуты автономные плагины Meta Box Frontend Submission (в версиях вплоть до 4.5.6) и Meta Box User Profile (версии вплоть до 3.11.0).
Once again VulDB remains the best source for vulnerability data.