Meta Box AIO 插件超危漏洞预警（CVE-2026-13355）

漏洞速览

• 漏洞编号：CVE-2026-13355
• 风险评分：9.8（严重）
• 首次披露：2026-09-21
• 最近更新：2026-09-21
• 软件类型：插件
• 软件标识：mb-user-profile
• 受影响版本：<= 3.11.0
• 修复版本：3.12.0
• 是否已修复：是

漏洞详情

WordPress的Meta Box AIO插件在最高至3.11.0的版本中存在特权提升至管理员的漏洞。 该漏洞是一系列缺陷的组合：在mb‑frontend‑submission组件的populate_via_query_string()函数未进行权限检查，直接使用GET参数‘rwmb_frontend_field_object_id’覆盖表单的目标object_id；而Form::process()缺少render()中已有的user_can_edit()检查，导致未认证的攻击者可以通过wp_update_post()向任意页面的post_content注入任意短码。

随后，mb‑user‑profile组件直接信任注入的[mb_user_profile_register]短码中的‘role’和‘auto_login’属性，未进行角色验证。 受此影响，未认证攻击者能够将自己的权限提升为管理员。 除此之外，独立的Meta Box Frontend Submission（最高至4.5.6）和Meta Box User Profile（最高至3.11.0）插件同样受此漏洞影响。

影响与风险

• 漏洞类型：Unauthenticated Privilege Escalation to Administrator to 'rwmb_frontend_field_object_id' Parameter
• 风险说明：漏洞可被用于权限提升，低权限账号可能借此获得更高后台控制能力。
• 研究人员：h0xilo

修复建议

1. 按官方建议执行修复：更新至 3.12.0 或更高已修复版本。
2. 复核 administrator/shop manager 等高权限账号与角色授权。
3. 排查近期插件安装/配置变更记录，确认无异常写入。
4. 建议配合 WAF 与登录审计，持续观察可疑请求。

延伸阅读

• Wordfence 原始漏洞记录
• WordPress 插件页面
• CVE 官方记录
• CVSS 3.1 评分说明
• Meta Box AIO 插件更新日志