Meta Box AIO 插件超危漏洞预警（CVE-2026-14488）

漏洞速览

• 漏洞编号：CVE-2026-14488
• 风险评分：9.1（严重）
• 首次披露：2026-07-28
• 最近更新：2026-07-29
• 软件类型：插件
• 软件标识：meta-box-aio
• 受影响版本：<= 3.8.0
• 修复版本：3.9.0
• 是否已修复：是

漏洞详情

WordPress的Meta Box AIO插件在MB Frontend Submission扩展的templateredirect调度器中存在授权缺失漏洞，影响最高至3.8.0的版本。漏洞根源在于handlerequest()函数处理mbfsdelete操作时未进行任何权限或所有权校验，而checkajax()中的nonce验证被isajax()条件拦截——由于templateredirect请求时isajax()返回false，导致验证可被绕过。因此，未登录的攻击者只需在任何承载前端提交表单的页面通过GET参数rwmbfrontendfieldobjectid提供受控的文章ID，即可删除任意文章或页面（即使allowdelete未开启）。CVE暂无。

影响与风险

• 漏洞类型：Missing Authorization to Unauthenticated Arbitrary Post Deletion via ‘rwmbfrontendfieldobjectid’ Parameter
• 风险说明：漏洞可能被利用以执行未授权操作，建议按官方修复方案立即升级并复核安全配置。
• 研究人员：Austin Ginder – Anchor Hosting

修复建议

1. 按官方建议执行修复：更新至 3.9.0 或更高已修复版本。
2. 复核 administrator/shop manager 等高权限账号与角色授权。
3. 排查近期插件安装/配置变更记录，确认无异常写入。
4. 建议配合 WAF 与登录审计，持续观察可疑请求。

延伸阅读

• Wordfence 原始漏洞记录
• WordPress 插件页面
• CVE 官方记录
• CVSS 3.1 评分说明
• Meta Box AIO 插件更新日志