CVE-2026-16953
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Wtyczka AI Engine dla WordPressa przed wersją 3.6.4 nie weryfikuje własności przesłanych plików gości przed ich usunięciem, opierając autoryzację wyłącznie na wartości sesyjnego ciasteczka dostarczonego przez klienta. Nieuwierzytelniony atakujący, który zdobędzie identyfikator sesji ofiary i odniesienie do pliku, może usunąć przesłane pliki ofiary.
Ocena ryzyka
Ryzyko polega na możliwości nieautoryzowanego usunięcia plików użytkowników, co może prowadzić do utraty danych i naruszenia integralności usługi.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki AI Engine do wersji 3.6.4 lub nowszej, która zawiera poprawkę eliminującą tę podatność.
Oryginalny opis (angielski, źródło NVD)
The AI Engine WordPress plugin before 3.6.4 does not verify ownership of a guest's uploaded chatbot files before deletion, authorising the action solely by a client-supplied session cookie value, so an unauthenticated attacker who obtains a victim's session identifier and file reference can delete that victim's uploaded files.