Meta Box AIO: Unauthentifizierte Rechteerweiterung in WordPress-Plugin
Zusammenfassung
Das WordPress-Plugin Meta Box AIO bis und mit Version 3.7.1 enthält eine Schwachstelle zur Rechteerweiterung (CWE-266). Ein nicht authentifizierter Angreifer kann diese ausnutzen, um Administratorrechte zu erlangen und die volle Kontrolle über die Website zu übernehmen. Es ist keine Benutzerinteraktion nötig, der CVSS-Score beträgt 9.8 (kritisch).
Betroffen
- Meta Box AIO WordPress-Plugin, alle Versionen bis und mit 3.7.1 (gemäss CVE-Eintrag und Patchstack; nicht vom Hersteller bestätigt)
Behoben in
Unbekannt. Patchstack meldet, dass kein offizieller Patch verfügbar ist. Die verwandte Schwachstelle CVE-2026-13355 ist in Versionen neuer als 3.11.0 behoben.
Umgehung
- Keine vom Hersteller empfohlene Massnahme bekannt.
- Plugin deaktivieren, falls dessen Erweiterungen nicht genutzt werden.
- Zugriff auf den WordPress-Administrationsbereich nach Möglichkeit einschränken oder blockieren.
- Patchstack bietet virtuelles Patching für diese Schwachstelle an, es handelt sich dabei aber um ein Drittprodukt.
Ausnutzung
- In den geprüften Quellen nicht als aktiv ausgenutzt gekennzeichnet.
- Kein öffentlicher Proof of Concept gefunden.
- Patchstack erwartet eine Ausnutzung, dies ist jedoch eine Prognose und kein Nachweis für Angriffe.
Unsere Empfehlung
- Alle WordPress-Websites auf Meta Box AIO und die Version prüfen.
- Websites mit öffentlichen Frontend-Formularen priorisieren.
- Auf die neueste verfügbare Version aktualisieren, mindestens über 3.11.0, oder das Plugin deaktivieren, falls es nicht benötigt wird.
- Administratoren und kürzlich erstellte Benutzerkonten auf unerwartete Einträge prüfen.
- Changelog des Herstellers und NVD-Eintrag auf eine bestätigte korrigierte Version überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- Strix CVE-2026-39761 www.strix.ai
- HOL CVE-2026-39761 hol.org
- OpenCVE CVE-2026-13355 app.opencve.io
- Wordfence CVE-2026-14488 www.wordfence.com
- Meta Box AIO documentation docs.metabox.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 21:11.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.