🔴 CVE-2026-14488: Critical Schwachstelle

„`html

Zusammenfassung

Das Meta Box AIO Plugin für WordPress weist eine kritische Authentifizierungslücke in der MB Frontend Submission Extension auf. Die Schwachstelle ermöglicht es unauthentifizierten Angreifern, beliebige Beiträge und Seiten zu löschen, ohne über die erforderlichen Berechtigungen zu verfügen. Die Sicherheitslücke betrifft alle Versionen bis einschließlich 3.8.0.

Betreffene Systeme

Plugin: Meta Box AIO
Komponente: MB Frontend Submission Extension
Betroffene Versionen: 3.8.0 und älter
Platform: WordPress

Technische Details

Die Vulnerabilität resultiert aus zwei kritischen Implementierungsfehlern im handle_request() Handler der template_redirect Dispatcher:

• Fehlende Autorisierungsprüfung: Die mbfs_delete-Aktion wird ohne Capability-Checks oder Ownership-Validierung verarbeitet
• Umgangenes Nonce-Verification: Die Nonce-Prüfung in check_ajax() ist hinter is_ajax() gated, welche für template_redirect Requests false zurückgibt
• Fehlende Benutzervalidierung: Keine Überprüfung der Benutzerprivilegien beim Löschen

Angreifer können die rwmb_frontend_field_object_id GET-Parameter manipulieren und beliebige Post-IDs angeben. Durch das Aufrufen von Seiten mit Frontend Submission Forms kann eine DELETE-Anfrage ausgelöst werden, unabhängig davon, ob die allow_delete-Option aktiviert ist.

Empfohlene Massnahmen

• Sofortige Maßnahme: Deaktivieren Sie das Meta Box AIO Plugin, bis ein Patch verfügbar ist
• Validierung: Implementieren Sie Web Application Firewalls mit Regeln für verdächtige POST-Requests
• Backup: Erstellen Sie vollständige Datenbank-Backups als Schutz vor Datenverlust
• Monitoring: Überwachen Sie Logs auf verdächtige Löschaktionen
• Update-Planung: Warten Sie auf Security-Patch und spielen Sie diesen zeitnah ein

Bewertung

CVSS-Score: 9.1 (Critical)
Angriffsvektor: Netzwerk
Authentifizierung erforderlich: Keine
Patch-Status: Nicht verfügbar

Diese Schwachstelle stellt eine unmittelbare und kritische Bedrohung dar. Das Fehlen eines veröffentlichten Patches verstärkt das Risiko erheblich.

„`