Ce que fait Meta Box dans WordPress
Meta Box est un cadre de développement pour les champs personnalisés. Vous déclarez des boîtes de champs (les « meta boxes » de WordPress) dans le code du thème ou d’une extension, au filtre rwmb_meta_boxes, et Meta Box affiche les champs dans l’écran d’édition, les valide, les nettoie puis enregistre les valeurs comme métadonnées natives de WordPress. Plus de 40 types de champs sont fournis : texte, éditeur visuel, image, fichier, date, relation vers un contenu ou un utilisateur, carte, et depuis la version 5.11 un champ qui embarque un éditeur de blocs complet.
L’extension de wordpress.org n’a pas d’écran de création de champs : son menu Meta Box ne contient qu’un tableau de bord. L’interface visuelle vient de MB Builder, inclus avec les extensions gratuites (types de publication, relations, API REST, migration depuis ACF, Pods et Toolset) dans Meta Box Lite, un paquet gratuit de l’éditeur. Pour l’affichage, Meta Box propose des fonctions PHP comme rwmb_meta(), le shortcode [rwmb_meta] et, depuis la version 5.14, les liaisons de blocs. La version 5.15 ajoute des champs aux commandes WooCommerce stockées en HPOS.
Meta Box est un produit d’eLightUp. Le cœur est gratuit ; les extensions PRO (groupes répétables, logique conditionnelle, champs de taxonomie et d’utilisateur, pages de réglages, tables personnalisées, formulaires publics, vues) sont vendues en lots annuels ou à vie, et l’offre Ultimate les réunit dans une seule extension, Meta Box AIO.
Pour quels projets Meta Box est un bon choix
Meta Box vise ceux qui construisent un modèle de contenu sur mesure et préfèrent le garder dans le code :
- Développeurs de thèmes et d’extensions : la configuration des champs vit dans des fichiers PHP versionnés, sans réglages à synchroniser entre préproduction et production.
- Catalogues, annuaires, sites d’événements : types de publication, champs et relations entre contenus, gratuitement avec Meta Box Lite.
- Agences : les offres agence couvrent un nombre illimité de sites, sous réserve des exclusions prévues par l’éditeur.
- Gros volumes de données : l’extension payante MB Custom Table enregistre les valeurs dans des tables dédiées.
Meta Box n’est pas le bon choix si personne n’écrira de PHP et que vous voulez des groupes répétables ou des pages d’options sans payer : ces fonctions sont payantes, comme chez Advanced Custom Fields. Pour déclarer seulement des types de publication, Custom Post Type UI suffit.
Points forts et limites de Meta Box
Points forts
- Un cœur gratuit déjà complet en code. Plus de 40 types de champs, validation et nettoyage par type, et champs clonables (répétables un à un) sans licence.
- Une interface gratuite. Meta Box Lite apporte MB Builder, les types de publication, les relations et l’API REST sans payer.
- Stockage natif. Les valeurs restent des métadonnées WordPress standard, lisibles avec les fonctions du cœur.
- Suit l’éditeur de blocs. Liaisons de blocs depuis la 5.14, champ éditeur de blocs depuis la 5.11, prise en charge de HPOS depuis la 5.15.
Limites
- Fonctions clés payantes. Groupes répétables, champs de taxonomie et d’utilisateur, pages de réglages et logique conditionnelle exigent une offre payante.
- Pas d’interface dans l’extension de wordpress.org. Sans code, il faut installer Meta Box Lite ou Meta Box AIO.
- Affichage à coder. Le constructeur de modèles MB Views est payant ; sinon il reste les fonctions PHP, le shortcode et les liaisons de blocs.
- Une série de failles en 2026. Cinq failles corrigées cette année, dont une suppression de fichiers possible avec un simple compte contributeur.
Les réglages que nous recommandons pour Meta Box
Meta Box n’a pas de page de réglages globale : la plupart des réglages sont des clés de champ, à écrire dans votre déclaration au filtre rwmb_meta_boxes ou à cocher dans MB Builder (onglet « Advanced » du champ). Les deux filtres du shortcode se placent dans le code du thème.
| Réglage | Valeur conseillée | Pourquoi |
|---|---|---|
| Mises à jour automatiques Extensions > Extensions installées > Meta Box | Activées | Les correctifs de 2026 visaient des comptes contributeur ou abonné : une version en retard laisse ces failles ouvertes. |
Max number of clones (max_clone)Réglages du champ clonable | Une limite adaptée, par exemple 10 | Par défaut 0, soit un nombre de clones illimité dans chaque contenu. |
Custom sanitize callback (sanitize_callback)Réglages du champ, onglet « Advanced » | Vide, ou votre propre fonction ; jamais none | Vide, Meta Box nettoie la valeur selon le type de champ ; none désactive tout nettoyage avant l’enregistrement. |
Hide from block bindings (hide_from_block_bindings)Même onglet | Activé pour les champs internes | Par défaut, chaque champ est proposé aux liaisons de blocs dans l’éditeur ; une note interne n’a pas à y figurer. |
Hide from REST API (hide_from_rest)Réglages du champ, avec MB REST API | Activé pour les champs internes, sauf site découplé | Évite d’exposer dans l’API REST une valeur que seul le personnel doit lire. |
Filtre rwmb_meta_shortcode_secureCode du thème | true (valeur par défaut) | Le shortcode passe alors la valeur dans wp_kses_post(), qui retire les scripts. |
Filtre rwmb_meta_shortcode_permissionCode du thème | Ne pas le forcer à true | Depuis la 5.15.3, le shortcode vérifie que le visiteur peut lire le contenu, le terme ou l’utilisateur ; forcer le filtre supprime ce contrôle. |
- Dans Extensions, vérifiez que Meta Box est au moins en version 5.15.3.
- Avec WordPress 6.9 ou plus, liez un bloc Paragraphe à une source Meta Box : les champs masqués ne doivent pas apparaître dans la liste proposée.
- Cherchez
'sanitize_callback' => 'none'dans le code du thème : chaque occurrence doit concerner un champ réservé aux administrateurs.
La sécurité de Meta Box : des failles réservées aux comptes connectés
Les failles corrigées en 2026 exigent toutes un compte sur le site, contributeur ou même simple abonné. C’est un risque réel sur les sites multi-auteurs, les communautés et les boutiques qui ouvrent l’inscription. Les plus marquantes :
- CVE-2025-14675, corrigée en 5.11.2 : suppression de fichiers arbitraires sur le serveur par un contributeur, via la fonction
ajax_delete_file; effacer le bon fichier peut mener à l’exécution de code (CVSS 7,2). CVE-2026-39468 décrit un défaut proche, corrigé dans la même version. - CVE-2026-15248, corrigée en 5.13.1 : un contributeur pouvait supprimer définitivement les médias d’autres utilisateurs, faute de contrôle d’autorisation (une IDOR).
- CVE-2026-109216 et CVE-2026-109700, corrigées en 5.15.3 : une XSS stockée possible avec un compte abonné via les clés d’un champ d’arrière-plan, et un contrôle d’accès manquant (CVSS 6,5) ; la même version fait vérifier au shortcode les droits de lecture du visiteur.
- CVE-2024-1204, corrigée en 5.9.4 : un contributeur pouvait lire les champs personnalisés des contenus d’autres auteurs.
Le geste utile : activez les mises à jour automatiques (voir notre guide des mises à jour automatiques des extensions) et donnez le rôle contributeur avec parcimonie (rôles et capacités WordPress). Sur le site public, Meta Box charge ses scripts et styles (identifiants rwmb) depuis son dossier d’extension : WP Masquerade Pro masque ces traces, ce qui complique son repérage par les robots qui ciblent ses failles, sans remplacer la mise à jour.
Ce que WP Masquerade masque pour Meta Box
Pro Pris en charge par WP Masquerade Pro uniquement
La version gratuite ne connaît pas les traces propres à Meta Box : sans Pro, seules les balises generator restent retirées, comme pour toute extension.
Version gratuite
Pris en charge par WP Masquerade Pro uniquement
Avec Pro
- nom du dossier
- identifiants de balises
Reste visible
- classes CSS
rwmb-* (public forms only)
Ces traces restent parce que l’extension en a besoin pour fonctionner (scripts, styles, cookies) ou parce qu’elles viennent du serveur.
Questions fréquentes sur Meta Box
Meta Box est-elle vraiment gratuite ?
Le cœur, sur wordpress.org, et Meta Box Lite sont gratuits, y compris pour des sites clients. Les extensions PRO sont payantes : Basic Bundle à 49 $ par an pour un site avec 12 extensions PRO, Ultimate Bundle à 99 $ par an pour trois sites avec toutes les extensions PRO et Meta Box AIO.
Quelle différence entre Meta Box, Meta Box Lite et Meta Box AIO ?
Meta Box est le cadre seul, piloté par le code. Meta Box Lite l’inclut avec MB Builder et toutes les extensions gratuites. Meta Box AIO, réservée aux offres payantes, réunit toutes les extensions gratuites et PRO dans une seule extension.
Existe-t-il une offre pour un nombre illimité de sites ?
Oui : les offres agence coûtent 149 $ par an (Basic) et 229 $ par an (Ultimate), ou 699 $ en paiement unique (Lifetime). L’éditeur en exclut les entreprises, hébergeurs, sociétés SaaS et prestataires de maintenance, qu’il invite à le contacter.
Peut-on passer d’ACF à Meta Box ?
Oui, Meta Box Lite et Meta Box AIO proposent une migration depuis ACF, Pods et Toolset. Faites-la d’abord sur une copie du site et adaptez les modèles du thème, qui appellent des fonctions différentes.