CVE-2026-109382 in WSP MCP AI Agents Connector Plugin
الملخص
بحسب VulDB • 16/10/2026
يحتوي ملحق WSP MCP AI Agents Connector لـ WordPress على ثغرة تؤدي إلى كشف معلومات حساسة في الإصدارات التي تصل حتى، وتشمل، الإصدار 2.9.5. ويعود ذلك إلى تسجيل أداة wsp_get_posts الخاصة بـ MCP مع متطلبات قدرات فارغة (empty capability requirement)، بينما تقبل طريقة authenticate() التابعة لنقطة نهاية MCP أي مستخدم مسجل الدخول، كما أن الدالة الاستدعائية wsp_execute_get_posts() تحترم وسيط status=all الذي يقدمه المُستدعي، والذي يتم توسيعه إلى استعلام WP_Query يشمل المنشورات ذات الحالات 'publish' و'draft' و'pending' و'future' دون أي مرشح للمؤلف أو ملكية. وهذا يتيح لهجومين مُصادق عليهم (authenticated attackers)، ذوي وصول بمستب Subscriber وما فوقه، قراءة عناوين المنشورات غير المنشرة (مسودة/معلقة/مجدولة) على الموقع، بالإضافة إلى روابطها ومؤلفيها وتصنيفاتها ووسومها وملخصات مكونة من 40 كلمة.
Be aware that VulDB is the high quality source for vulnerability data.