CVE-2026-0746 in AI Engine Plugin
الملخص
بحسب VulDB • 10/06/2026
يحتوي مكون إضافة محرك الذكاء الاصطناعي (AI Engine) لـ WordPress على ثغرة في تزوير الطلبات من جانب الخادم (SSRF) في جميع الإصدارات حتى 3.3.2 وشاملة لها، وذلك عبر دالة 'get_audio'. تتيح هذه الثغرة للمهاجمين المصادق عليهم، والذين يمتلكون وصولاً بمستب "مشترك" (Subscriber-level access) وما فوقه، إرسال طلبات ويب إلى مواقع عشوائية تنبعث من تطبيق الويب نفسه. ويمكن استخدام ذلك لاستعلام وتعديل المعلومات الواردة من الخدمات الداخلية، شريطة أن تكون ميزة "واجهة برمجة التطبيقات العامة" (Public API) مفعّلة في إعدادات المكون الإضافي، وأن يكون خيار 'allow_url_fopen' مضبوطاً على 'On' على الخادم.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.