CVE-2026-14488
Təsvir
WordPress üçün Meta Box AIO plagini, 3.8.0 daxil olmaqla daha aşağı versiyalarda MB Frontend Submission genişlənməsindəki template_redirect dispatcher vasitəsilə Yetkiləndirmənin Olmaması zəifliyinə malikdir. Bu, handle_request() funksiyasının hər hansı bir səlahiyyət və ya sahiblik yoxlaması olmadan mbfs_delete hərəkətini yönləndirməsi və check_ajax() funksiyasındakı nonce təsdiqləməsinin template_redirect sorğuları üçün yanlış olan is_ajax() şərtindən asılı olması və buna görə də yan keçilə bilməsi ilə bağlıdır. Bu, autentifikasiya olunmamış hücumçulara, allow_delete aktiv olsa belə, frontend göndərmə formasını yerləşdirən istənilən səhifədə rwmb_frontend_field_object_id GET parametri vasitəsilə idarə etdikləri post ID-ni təqdim edərək ixtiyari post və səhifələri silməyə imkan verir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| Meta Box Meta Box AIO | v ≤ 3.8.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.