漏洞速览
- 漏洞编号：
CVE-2026-14488 - 风险评分：
9.1（严重） - 首次披露：2026-07-28
- 最近更新：2026-07-28
- 软件类型：插件
- 软件标识：
meta-box-aio - 受影响版本：<= 3.8.0
- 修复版本：3.9.0
- 是否已修复：是
漏洞详情
WordPress 的 Meta Box AIO 插件存在授权缺失漏洞（Missing Authorization），问题出在 MB Frontend Submission 扩展的 templateredirect 调度器上，影响版本最高至 3.8.0。该漏洞的成因是 handlerequest() 函数在处理 mbfsdelete 操作时未进行任何权限或所有权校验，而 checkajax() 中的 nonce 验证被 isajax() 条件阻挡，导致在 templateredirect 请求场景下 nonce 验证可被绕过。因此，未登录的攻击者只需在任何带有前端提交表单的页面中，通过 rwmbfrontendfieldobjectid GET 参数提交一个由攻击者控制的文章 ID，即可删除任意文章和页面，且不受 allow_delete 设置的影响。
影响与风险
- 漏洞类型：Missing Authorization to Unauthenticated Arbitrary Post Deletion via ‘rwmbfrontendfieldobjectid’ Parameter
- 风险说明：漏洞可能被利用以执行未授权操作，建议按官方修复方案立即升级并复核安全配置。
- 研究人员：Austin Ginder – Anchor Hosting
修复建议
- 按官方建议执行修复：更新至 3.9.0 或更高已修复版本。
- 复核
administrator/shop manager等高权限账号与角色授权。 - 排查近期插件安装/配置变更记录，确认无异常写入。
- 建议配合 WAF 与登录审计，持续观察可疑请求。
