Meta Box AIO 插件超危漏洞预警（CVE-2026-13355）

漏洞速览

• 漏洞编号：CVE-2026-13355
• 风险评分：9.8（严重）
• 首次披露：2026-09-21
• 最近更新：2026-09-21
• 软件类型：插件
• 软件标识：mb-frontend-submission
• 受影响版本：<= 4.5.6
• 修复版本：4.6.0
• 是否已修复：是

漏洞详情

WordPress 的 Meta Box AIO 插件在最高至 3.11.0（含）版本中存在权限提升至管理员的漏洞。

其根源是一系列缺陷：在 mb‑frontend‑submission 组件中，populate_via_query_string() 函数直接从 GET 参数 “rwmb_frontend_field_object_id” 无限制地覆盖表单目标 object_id，没有任何授权检查；而 Form::process() 缺少 render() 中已有的 user_can_edit() 检查，导致未认证攻击者可以通过 wp_update_post() 用任意短代码覆盖任意页面的 post_content；随后，mb‑user‑profile 组件直接信任注入的 [mb_user_profile_register] 短代码中的 “role” 和 “auto_login” 属性，缺少角色验证。

未认证攻击者因此能够将自己的权限提升至管理员。 受影响的还有独立插件 Meta Box Frontend Submission（最高至 4.5.6 版）和 Meta Box User Profile（最高至 3.11.0 版）。

影响与风险

• 漏洞类型：Unauthenticated Privilege Escalation to Administrator to 'rwmb_frontend_field_object_id' Parameter
• 风险说明：漏洞可被用于权限提升，低权限账号可能借此获得更高后台控制能力。
• 研究人员：h0xilo

修复建议

1. 按官方建议执行修复：更新至 4.6.0 或更高已修复版本。
2. 复核 administrator/shop manager 等高权限账号与角色授权。
3. 排查近期插件安装/配置变更记录，确认无异常写入。
4. 建议配合 WAF 与登录审计，持续观察可疑请求。

延伸阅读

• Wordfence 原始漏洞记录
• WordPress 插件页面
• CVE 官方记录
• CVSS 3.1 评分说明
• Meta Box AIO 插件更新日志
• Meta Box AIO 插件更新日志