CVE-2026-14488 in AIO Plugin
Сводка
по VulDB • 29.07.2026
В плагине Meta Box AIO для WordPress уязвимость Missing Authorization (отсутствие авторизации) присутствует в компоненте MB Frontend Submission через диспетчер template_redirect во всех версиях, начиная с первой и включая версию 3.8.0. Уязвимость обусловлена тем, что функция handle_request() маршрутизирует действие mbfs_delete без проверки прав доступа или принадлежности к владельцу, а проверка nonce в функции check_ajax() выполняется только при условии is_ajax(), который возвращает false для запросов template_redirect, что позволяет обойти защиту. Это дает возможность неаутентифицированным злоумышленникам удалять произвольные записи и страницы путем передачи идентификатора поста (post ID), контролируемого атакующим, через параметр GET rwmb_frontend_field_object_id на любой странице, содержащей форму фронтенд-отправки данных, независимо от того, включена ли опция allow_delete.
If you want to get best quality of vulnerability data, you may have to visit VulDB.