CVE-2026-65545
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Nieuwierzytelniona podatność Cross Site Scripting (XSS) w wtyczce AI Engine w wersjach do 3.6.8. Atakujący bez logowania może wstrzykiwać złośliwe skrypty.
Ocena ryzyka
Możliwość wykonania skryptów w przeglądarce administratora, co może prowadzić do przejęcia sesji lub kradzieży danych.
Rekomendacja
Zaktualizuj wtyczkę AI Engine do najnowszej wersji, która zawiera poprawkę.
Inne podatności w AI Engine
Zobacz wszystkie- CVE-2026-75798Średnie
Wtyczka AI Engine przed wersją 3.7.2 nie przeprowadza kontroli autoryzacji na jednej z funkcji przeznaczonych tylko dla administratorów, polegając zamiast tego na tokenie wydawanym anonimowym odwiedzającym. Pozwala to nieuwierzytelnionym atakującym na uruchamianie własnych zapytań AI przeciwko skonfigurowanemu kontu dostawcy właściciela witryny.
- CVE-2026-16955Średnie
Wtyczka AI Engine dla WordPressa przed wersją 3.6.6 nie ogranicza ścieżki pliku podanej przez użytkownika przed jego odczytaniem i wysłaniem do zewnętrznego serwisu. Umożliwia to użytkownikom z kontem subskrybenta odczyt dowolnych plików z serwera i ich eksfiltrację. Wymaga to włączenia niepublicznej funkcji API; w przeciwnym razie problem osiągalny przez administratora, co w multisite pozwala administratorowi podstrony na odczyt konfiguracji sieci.
- CVE-2026-12510Średnie
Wtyczka AI Engine dla WordPressa przed wersją 3.5.5 nie weryfikuje, czy użytkownik jest właścicielem rozmowy chatbota wskazanej przez identyfikator dostarczony przez klienta. Umożliwia to użytkownikom z dostępem na poziomie subskrybenta odczytywanie prywatnych rozmów innych użytkowników oraz przejmowanie ich rekordów rozmów, gdy funkcja dyskusji jest włączona.
- CVE-2026-27407Wysokie
Wersje AI Engine do 3.4.9 mają lukę, która pozwala na eskalację uprawnień edytora.
Oryginalny opis (angielski, źródło NVD)
Unauthenticated Cross Site Scripting (XSS) in AI Engine <= 3.6.8 versions.