CVE-2026-13355

WordPress için Meta Box AIO eklentisi, 3.11.0 dahil önceki sürümlerde Yöneticiye Yetki Yükseltme zafiyetine sahiptir. Bu durum zincirleme bir hatadan kaynaklanmaktadır: mb-frontend-submission bileşenindeki populate_via_query_string() fonksiyonu, herhangi bir yetkilendirme kontrolü yapmaksızın formun hedef object_id değerini 'rwmb_frontend_field_object_id' GET parametresi ile koşulsuz olarak geçersiz kılmakta ve Form::process() fonksiyonu, render() içerisinde bulunan user_can_edit() kontrolünden yoksun olduğundan, kimliği doğrulanmamış saldırganların wp_update_post() aracılığıyla herhangi bir sayfanın post_content içeriğini rastgele bir shortcode ile değiştirmesine izin vermektedir; ardından mb-user-profile bileşeni, enjekte edilen [mb_user_profile_register] shortcode içerisindeki 'role' ve 'auto_login' shortcode özniteliklerine herhangi bir rol doğrulaması yapmadan doğrudan güvenmektedir. Bu durum, kimliği doğrulanmamış saldırganların yetkilerini Yönetici seviyesine yükseltmesini mümkün kılmaktadır. Bağımsız eklentiler olan Meta Box Frontend Submission (4.5.6'ya kadar olan sürümler) ve Meta Box User Profile (3.11.0'a kadar olan sürümler) da bu durumdan etkilenmektedir.