CVE-2026-9810
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
Wtyczka AI Copilot dla WordPress przed wersją 1.5.4 nie wiąże tokenów OAuth z kontem użytkownika WordPress i akceptuje każdy ważny token jako sesję administratora. Umożliwia to nieuwierzytelnionym atakującym, którzy ukończą publiczny przepływ OAuth, wykonywanie uprzywilejowanych narzędzi MCP jako administrator, w tym tworzenie dowolnych użytkowników i eskalację uprawnień.
Ocena ryzyka
Organizacja narażona jest na całkowite przejęcie konta administratora WordPress przez nieuwierzytelnionego atakującego, co może prowadzić do kradzieży danych, modyfikacji treści i instalacji złośliwego oprogramowania.
Rekomendacja
Niezwłocznie zaktualizuj wtyczkę AI Copilot do wersji 1.5.4 lub nowszej. Jeśli aktualizacja nie jest możliwa, tymczasowo wyłącz wtyczkę do czasu wdrożenia poprawki.
Oryginalny opis (angielski, źródło NVD)
The AI Copilot WordPress plugin before 1.5.4 does not bind OAuth access tokens to a WordPress user, and accepts any valid token as an administrator session, allowing unauthenticated attackers who complete the public OAuth flow to execute privileged MCP tools as an administrator, including arbitrary user creation and role escalation.