CVE-2026-13355

Résumé

Le plugin Meta Box AIO pour WordPress est vulnérable à une élévation de privilèges vers Administrateur dans les versions jusqu'à 3.11.0 incluses. Cela est dû à une faille en chaîne : la fonction populate_via_query_string() du composant mb-frontend-submission écrase inconditionnellement l'object_id cible du formulaire à partir du paramètre GET 'rwmb_frontend_field_object_id' sans aucun contrôle d'autorisation, et Form::process() est dépourvu de la vérification user_can_edit() présente dans render(), ce qui permet à des attaquants non authentifiés d'écraser le post_content de n'importe quelle page avec un shortcode arbitraire via wp_update_post() ; le composant mb-user-profile fait ensuite directement confiance aux attributs de shortcode 'role' et 'auto_login' dans le shortcode injecté [mb_user_profile_register] sans aucune validation de rôle. Cela rend possible pour des attaquants non authentifiés d'élever leurs privilèges vers Administrateur. Les plugins autonomes Meta Box Frontend Submission (dans les versions jusqu'à 4.5.6) et Meta Box User Profile (versions jusqu'à 3.11.0) sont également affectés.

• CVE-2026-13355PoC

  Scanner et exploit PoC en Python pour CVE-2026-13355, une élévation de privilèges administrateur non authentifiée dans les plugins WordPress Meta Box AIO, avec scan de masse FOFA.