CVE-2026-14488

Nome do Software Vulnerável e Versões Afetadas Meta Box AIO versões anteriores a 3.8.1

Descrição A extensão MB Frontend Submission contém uma falha de autorização ausente no despachante template redirect. A função handle request() roteia a ação mbfs delete sem verificar as capacidades ou a propriedade do usuário. Além disso, a verificação de nonce em check ajax() é executada apenas se is ajax() for verdadeiro, o que não ocorre para requisições template redirect, permitindo a evasão da verificação. Consequentemente, invasores não autenticados podem excluir postagens e páginas arbitrárias ao fornecer um ID de postagem específico através do parâmetro GET rwmb frontend field object id em qualquer página que hospede um formulário de envio frontal, independentemente de a configuração allow delete estar desativada.

Recomendações Atualize para uma versão posterior à 3.8.0. Restrinja o acesso ao parâmetro rwmb frontend field object id no endpoint da API afetado até que a atualização seja aplicada.