CVE-2026-14488
Açıklama
WordPress için Meta Box AIO eklentisi, 3.8.0 dahil önceki sürümlerde, MB Frontend Submission uzantısındaki template_redirect dağıtıcısı üzerinden Eksik Yetkilendirme zafiyetine sahiptir. Bu durum, handle_request() fonksiyonunun mbfs_delete işlemini herhangi bir yetenek veya sahiplik kontrolü yapmadan yönlendirmesinden ve check_ajax() içindeki nonce doğrulamasının, template_redirect istekleri için yanlış olan is_ajax() arkasına konumlandırılması nedeniyle atlatılabilir olmasından kaynaklanmaktadır. Bu durum, kimliği doğrulanmamış saldırganların, allow_delete etkin olup olmadığına bakılmaksızın, ön uç gönderim formu barındıran herhangi bir sayfada rwmb_frontend_field_object_id GET parametresi aracılığıyla saldırgan tarafından kontrol edilen bir yazı kimliği sağlayarak rastgele yazıları ve sayfaları silmesini mümkün kılmaktadır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Meta Box Meta Box AIO | v ≤ 3.8.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.