CVE-2026-8719
WysokieStreszczenie
Wtyczka AI Engine – Chatbot, AI Framework & MCP dla WordPressa w wersji 3.4.9 jest podatna na eskalację uprawnień. Problem wynika z braku egzekwowania uprawnień WordPressa w ścieżce autoryzacji tokena OAuth, co pozwala na dostęp do narzędzi MCP na poziomie administratora bez weryfikacji uprawnień administratora.
Ocena ryzyka
Atakujący z odpowiednimi uprawnieniami (Subscriber+) mogą uzyskać dostęp do narzędzi administracyjnych, co stwarza poważne zagrożenie dla bezpieczeństwa systemu WordPress.
Rekomendacja
Zaleca się aktualizację wtyczki do najnowszej wersji, aby usunąć tę podatność oraz wprowadzenie dodatkowych środków zabezpieczających w celu ograniczenia dostępu do narzędzi MCP.
Oryginalny opis (angielski, źródło NVD)
The AI Engine – The Chatbot, AI Framework & MCP for WordPress plugin for WordPress is vulnerable to Privilege Escalation in version 3.4.9. This is due to missing WordPress capability enforcement in the MCP OAuth bearer-token authorization path, where any valid OAuth token causes MCP access to be granted without verifying administrator privileges. This makes it possible for authenticated (Subscriber+) attackers to invoke admin-level MCP tools and escalate privileges to Administrator.