CVE-2026-13355

Resumen

El plugin Meta Box AIO para WordPress es vulnerable a la escalada de privilegios a Administrador en versiones hasta la 3.11.0, inclusive. Esto se debe a una falla encadenada: la función populate_via_query_string() en el componente mb-frontend-submission sobrescribe incondicionalmente el object_id del objeto destino del formulario a partir del parámetro GET 'rwmb_frontend_field_object_id' sin ninguna verificación de autorización, y Form::process() carece de la verificación user_can_edit() presente en render(), lo que permite a atacantes no autenticados sobrescribir el post_content de cualquier página con un shortcode arbitrario mediante wp_update_post(); el componente mb-user-profile luego confía directamente en los atributos 'role' y 'auto_login' del shortcode en el shortcode inyectado [mb_user_profile_register] sin validación de rol. Esto hace posible que atacantes no autenticados eleven sus privilegios a Administrador. Los plugins independientes Meta Box Frontend Submission (en versiones hasta la 4.5.6) y Meta Box User Profile (versiones hasta la 3.11.0) también están afectados.

• CVE-2026-13355PoC

  Escáner PoC en Python y exploit para CVE-2026-13355, una escalada de privilegios de administrador no autenticada en los plugins de WordPress Meta Box AIO, con escaneo masivo FOFA.