Alerta crítica: Se ha publicado la CVE-2026-13355, una vulnerabilidad de escalada de privilegios a Administrador que afecta a los plugins de WordPress Meta Box AIO, Meta Box Frontend Submission y Meta Box User Profile. Con una puntuación CVSS de 9.8, permite a atacantes no autenticados obtener control total del sitio mediante una cadena de fallos encadenados. Se recomienda aplicar la actualización oficial del fabricante de forma inmediata.
Resumen ejecutivo
| CVE | CVE-2026-13355 |
|---|---|
| Fabricante | Meta Box |
| Producto | Meta Box Frontend Submission |
| Fecha de publicación | 22 de septiembre de 2026 |
| Severidad | CRÍTICA |
| Puntuación CVSS | 9.8 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) |
| Prioridad RyzerBot | 230 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada |
Qué es la vulnerabilidad
La CVE-2026-13355 es una vulnerabilidad crítica de escalada de privilegios que afecta a varios productos de la familia Meta Box para WordPress. El fallo, clasificado como CWE-269 (gestión incorrecta de privilegios), permite que un atacante no autenticado eleve sus privilegios hasta el nivel de Administrador, comprometiendo por completo la seguridad del sitio.
La vulnerabilidad se origina por una combinación de fallos encadenados en dos componentes distintos de los plugins:
Componente mb-frontend-submission
La función populate_via_query_string() sobrescribe de forma incondicional el object_id del formulario a partir del parámetro GET rwmb_frontend_field_object_id, sin realizar ninguna comprobación de autorización. Además, el método Form::process() carece de la verificación user_can_edit() que sí está presente en render(). Esta combinación permite a atacantes no autenticados sobrescribir el post_content de cualquier página mediante wp_update_post(), inyectando un shortcode arbitrario.
Componente mb-user-profile
El componente de perfil de usuario confía directamente en los atributos role y auto_login del shortcode inyectado [mb_user_profile_register], sin realizar ninguna validación del rol solicitado. Esto permite que el shortcode malicioso registre un nuevo usuario con privilegios de Administrador.
La combinación de ambos fallos crea una cadena de explotación completa: el atacante inyecta el shortcode malicioso en una página existente y, a continuación, el shortcode se ejecuta al cargar dicha página, creando una cuenta de administrador sin requerir autenticación previa.
La vulnerabilidad afecta a los siguientes productos y versiones:
- Meta Box AIO: versiones hasta 3.11.0 inclusive
- Meta Box Frontend Submission (plugin independiente): versiones hasta 4.5.6 inclusive
- Meta Box User Profile (plugin independiente): versiones hasta 3.11.0 inclusive
Dado que la explotación no requiere autenticación y el impacto afecta a la confidencialidad, integridad y disponibilidad del sitio, esta vulnerabilidad se considera crítica y debe abordarse con carácter urgente.
Productos y versiones vulnerables
La vulnerabilidad CVE-2026-13355 afecta a los siguientes productos del ecosistema Meta Box para WordPress. Según la información publicada por CVE.org y NVD, el desglose por componente es el siguiente:
| Producto | Versiones afectadas |
|---|---|
| Meta Box AIO (todo en uno) | Hasta 3.11.0 inclusive |
| Meta Box Frontend Submission (plugin independiente) | Hasta 4.5.6 inclusive |
| Meta Box User Profile (plugin independiente) | Hasta 3.11.0 inclusive |
Es importante señalar que la cadena de explotación descrita en el aviso combina fallos en dos componentes: mb-frontend-submission y mb-user-profile. Por tanto, cualquier instalación que utilice Meta Box AIO en una versión igual o anterior a la 3.11.0, o que emplee los plugins independientes en las versiones indicadas, debe considerarse vulnerable. No se han publicado versiones corregidas específicas en las referencias del contexto, por lo que se recomienda consultar el changelog oficial de Meta Box para identificar la versión que resuelve este fallo.
Impacto y riesgo
El impacto de esta vulnerabilidad es crítico, con una puntuación CVSS v3.1 de 9.8 (vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H). Esto implica que un atacante remoto no autenticado puede explotar la cadena de fallos sin necesidad de interacción del usuario ni privilegios previos.
La cadena de explotación descrita permite a un atacante no autenticado:
- Sobrescribir el contenido de cualquier página mediante la inyección de un shortcode arbitrario a través de
wp_update_post(), aprovechando la falta de comprobación de autorización enpopulate_via_query_string()y la ausencia de la verificaciónuser_can_edit()enForm::process(). - Escalar privilegios a Administrador inyectando el shortcode
[mb_user_profile_register]con los atributosroleyauto_loginmanipulados, ya que el componentemb-user-profileconfía directamente en estos parámetros sin validación de roles.
El impacto combinado es la toma de control total del sitio WordPress: un atacante que consiga privilegios de administrador podría instalar plugins maliciosos, modificar temas, exfiltrar la base de datos completa (incluyendo credenciales de usuarios) y utilizar el sitio como plataforma para ataques posteriores. La clasificación CWE-269 (gestión de privilegios inadecuada) refleja con precisión la naturaleza del fallo.
Estado de explotación conocida
Las fuentes consultadas en el contexto (NVD y CVE.org) no publican información explícita sobre explotación activa de esta vulnerabilidad. No se mencionan campañas, exploits públicos o pruebas de concepto disponibles en las referencias analizadas. La ausencia de esta información no debe interpretarse como una garantía de seguridad: la criticidad del fallo y la facilidad de explotación (requisitos de red, sin autenticación y sin interacción) hacen que sea previsible la aparición de exploits funcionales en el corto plazo. Se recomienda aplicar las actualizaciones disponibles con carácter urgente.
Indicadores de compromiso (IOC)
No se han extraído indicadores de compromiso estructurados de las fuentes consultadas. El campo enrichment.ioc aparece vacío en el contexto proporcionado, y no se deben inventar IOC que no estén respaldados por las referencias oficiales. Para la detección de posibles compromisos, se recomienda revisar los registros de acceso en busca de peticiones HTTP que incluyan el parámetro rwmb_frontend_field_object_id en la cadena de consulta (query string) y auditar el contenido de las páginas en busca de shortcodes [mb_user_profile_register] inyectados de forma no autorizada.
Cómo comprobar si estás afectado
Para determinar si tu instalación de WordPress es vulnerable a CVE-2026-13355, debes verificar las versiones exactas de los plugins de Meta Box que tengas activos. La vulnerabilidad afecta a las siguientes versiones, según los datos publicados por CVE.org y NVD:
- Meta Box AIO: versiones hasta la 3.11.0 inclusive.
- Meta Box Frontend Submission (plugin independiente): versiones hasta la 4.5.6 inclusive.
- Meta Box User Profile (plugin independiente): versiones hasta la 3.11.0 inclusive.
El vector de ataque es remoto y no requiere autenticación (AV:N/AC:L/PR:N/UI:N), por lo que cualquier sitio con una de estas versiones queda expuesto a una escalada de privilegios total a administrador. No se han publicado indicadores de compromiso (IOC) estructurados en las fuentes consultadas, por lo que la detección debe basarse en la auditoría de versiones y en la revisión de contenido inyectado en páginas.
Para comprobarlo, accede al panel de administración de WordPress y navega a Plugins → Plugins instalados. Localiza los componentes de Meta Box y anota su número de versión. Si utilizas Meta Box AIO, ten en cuenta que incluye los componentes mb-frontend-submission y mb-user-profile; la versión afectada del paquete AIO es la que debes comparar. También puedes revisar el archivo readme.txt de cada plugin o consultar el changelog oficial en los enlaces de la sección de fuentes.
Además de la versión, conviene inspeccionar el contenido de las páginas y entradas en busca de shortcodes inyectados, especialmente [mb_user_profile_register] con atributos role o auto_login que no hayas añadido tú. Un atacante podría haber sobrescrito el post_content de cualquier página mediante la vulnerabilidad encadenada, por lo que una revisión manual del editor de páginas es una medida prudente.
Mitigación y actualización
En el momento de la publicación de esta CVE, las fuentes consultadas no incluyen una versión corregida específica ni un parche publicado por el fabricante. La acción recomendada, según el aviso, es revisar el changelog oficial de Meta Box y aplicar la actualización en cuanto esté disponible. Mientras tanto, se pueden adoptar las siguientes medidas de mitigación temporal:
- Desactivar los plugins afectados si no son imprescindibles para el funcionamiento del sitio. Esto elimina la superficie de ataque de forma inmediata.
- Restringir el acceso a los formularios de frontend mediante reglas de firewall de aplicación web (WAF) que bloqueen peticiones con el parámetro
rwmb_frontend_field_object_iden la URL. - Auditar los shortcodes activos en todas las páginas y entradas, eliminando cualquier inyección sospechosa que contenga
mb_user_profile_registercon atributos de rol no autorizados. - Revisar los usuarios con rol de administrador y eliminar cuentas desconocidas o creadas recientemente.
Es importante señalar que estas mitigaciones no corrigen la vulnerabilidad subyacente; solo reducen la exposición. La solución definitiva pasa por actualizar a una versión parcheada cuando Meta Box la publique. Consulta periódicamente el changelog oficial y el aviso de Wordfence para conocer la disponibilidad de la corrección.
Checklist para administradores
Utiliza esta lista para verificar y asegurar tu instalación frente a CVE-2026-13355:
- ☐ He identificado la versión exacta de Meta Box AIO, Meta Box Frontend Submission y Meta Box User Profile instalados.
- ☐ He comparado las versiones con los rangos afectados (AIO ≤ 3.11.0, Frontend Submission ≤ 4.5.6, User Profile ≤ 3.11.0).
- ☐ He revisado el contenido de todas las páginas y entradas en busca de shortcodes inyectados no autorizados.
- ☐ He comprobado la lista de usuarios administradores y eliminado cuentas sospechosas.
- ☐ He desactivado los plugins afectados o aplicado reglas de WAF para bloquear el parámetro vulnerable.
- ☐ He consultado el changelog oficial de Meta Box para conocer la disponibilidad de una versión corregida.
- ☐ He programado una revisión periódica de los avisos de seguridad de Wordfence y NVD.
Preguntas frecuentes
¿Qué versión de Meta Box AIO está afectada?
Según los datos publicados, todas las versiones de Meta Box AIO hasta la 3.11.0 inclusive están afectadas. La vulnerabilidad también impacta a los plugins independientes Meta Box Frontend Submission (hasta 4.5.6) y Meta Box User Profile (hasta 3.11.0).
¿La vulnerabilidad requiere autenticación?
No. El vector CVSS es AV:N/AC:L/PR:N/UI:N, lo que indica que un atacante remoto no autenticado puede explotar la vulnerabilidad sin interacción del usuario. Esto eleva la criticidad a 9.8 sobre 10.
¿Qué consecuencias tiene la explotación?
Un atacante puede escalar privilegios hasta obtener el rol de administrador de WordPress. Esto implica control total del sitio, incluyendo la posibilidad de modificar contenido, instalar plugins maliciosos o exfiltrar datos. El impacto en confidencialidad, integridad y disponibilidad es alto.
¿Existe un parche disponible?
Las fuentes consultadas no publican una versión corregida específica en el momento de redactar este artículo. Se recomienda revisar el changelog oficial de Meta Box y aplicar la actualización en cuanto esté disponible.
¿Cómo puedo saber si mi sitio ya ha sido comprometido?
No se han publicado IOC estructurados. La detección debe basarse en la auditoría de versiones, la revisión de shortcodes inyectados en páginas y la inspección de cuentas de usuario con privilegios elevados. Si encuentras el shortcode [mb_user_profile_register] con atributos role o auto_login en páginas que no has editado, es un indicio de compromiso.
¿Qué hago si no puedo actualizar los plugins?
Como medida temporal, desactiva los plugins afectados si no son esenciales. Si necesitas mantenerlos activos, aplica reglas de WAF para bloquear el parámetro rwmb_frontend_field_object_id y monitoriza los registros de acceso. Recuerda que estas medidas no eliminan la vulnerabilidad.
Fuentes oficiales
Para obtener información detallada y actualizaciones sobre esta vulnerabilidad, consulta las siguientes referencias oficiales:
- NVD – CVE-2026-13355
- Meta Box – Changelog oficial
- Meta Box AIO – Changelog
- Wordfence – Threat Intelligence
Mantente atento a estas fuentes para conocer la disponibilidad de parches y cualquier información adicional sobre la explotación activa. La criticidad de esta CVE (9.8) y su facilidad de explotación hacen que la actualización sea una prioridad inmediata para cualquier sitio que utilice los plugins afectados.