CVE-2026-16954
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Wtyczka AI Engine dla WordPressa przed wersją 3.6.4 nie usuwa poufnych wartości konfiguracyjnych przed ich ujawnieniem w danych skryptu inline na stronie administracyjnej, co pozwala użytkownikom z rolą edytora na odczytanie przechowywanych kluczy API i tokenów uwierzytelniających w postaci jawnego tekstu, mimo że te sekrety są ograniczone do administratorów w innych miejscach.
Ocena ryzyka
Użytkownik z rolą edytora może uzyskać dostęp do kluczy API i tokenów, co może prowadzić do nieautoryzowanego użycia usług zewnętrznych, naruszenia danych lub przejęcia kont.
Rekomendacja
Zaktualizuj wtyczkę AI Engine do wersji 3.6.4 lub nowszej, która zawiera poprawkę usuwającą poufne wartości z danych skryptu.
Inne podatności w AI Engine WordPress plugin
Zobacz wszystkie- CVE-2026-75797Wysokie
Wtyczka AI Engine dla WordPressa przed wersją 3.7.2 nie ogranicza adresu URL podanego przez wywołującego podczas mapowania go na lokalną ścieżkę pliku przed odczytaniem pliku i przesłaniem jego zawartości do zewnętrznej usługi. Pozwala to użytkownikom z kontem subskrybenta na odczyt dowolnych plików z serwera i ich eksfiltrację poza host. Osiągnięcie podatności na poziomie subskrybenta wymaga włączenia niepublicznej funkcji API; w przeciwnym razie problem jest osiągalny przez administratora, co w multisite pozwala administratorowi podwitryny niebędącemu superadministratorem na odczyt współdzielonej konfiguracji i jej sekretów.
- CVE-2026-75796Wysokie
Wtyczka AI Engine dla WordPressa przed wersją 3.6.1 nie weryfikuje, czy żądający użytkownik jest autoryzowany do działania na docelowym koncie przed wykonaniem uprzywilejowanych operacji zarządzania użytkownikami, co pozwala użytkownikom z rolą Administratora w podstronie Multisite na przejęcie dowolnego konta w sieci, w tym konta Administratora Sieci.
- CVE-2026-16953Średnie
Wtyczka AI Engine dla WordPressa przed wersją 3.6.4 nie weryfikuje własności przesłanych plików gości przed ich usunięciem, opierając autoryzację wyłącznie na wartości sesyjnego ciasteczka dostarczonego przez klienta. Nieuwierzytelniony atakujący, który zdobędzie identyfikator sesji ofiary i odniesienie do pliku, może usunąć przesłane pliki ofiary.
- CVE-2026-12511Wysokie
Wtyczka AI Engine dla WordPressa przed wersją 3.5.5 nie oczyszcza nazwy pliku dostarczonej przez użytkownika przed zapisem pobranego pliku, co umożliwia uwierzytelnionym użytkownikom z dostępem na poziomie edytora zapisanie dowolnych danych w dowolnej lokalizacji na serwerze poprzez przejście ścieżki.
Oryginalny opis (angielski, źródło NVD)
The AI Engine WordPress plugin before 3.6.4 does not redact secret configuration values before exposing them in an admin page's inline script data, allowing users with the Editor role to read the site's stored third-party API key and authentication tokens in cleartext, despite those secrets being restricted to administrators everywhere else.