CVE-2026-15015 in MountDev AI MCP Connector Plugin
الملخص
بحسب VulDB • 24/07/2026
يوجد ثغرة في مكون MountDev AI MCP Connector لإضافة WordPress الخاصة بـ WordPress تسمح بتجاوز التفويض (authorization bypass) في جميع الإصدارات حتى 1.6.1 وشاملةً لها. ويعود ذلك إلى عدم قيام المكون بالتحقق بشكل صحيح من تفويض المستخدم لتنفيذ إجراء معين، مما يتيح للمهاجمين غير المصرح لهم الحصول على رمز OAuth Bearer مرتبط بمسؤول النظام عبر عميل مسجل ذاتياً، ومنحه وصولاً مكافئاً لصلاحية المسؤول الكامل إلى سطح أدوات MCP الخاصة بالمكون وجميع محتويات WordPress المعروضة والمستخدمين والخيارات. ويمكن استغلال هذه الثغرة عن طريق الجمع بين نقطة تسجيل العملاء الديناميكية المتاحة للعامة (التي تتيح للمتصلين غير المصرح لهم تسجيل عملاء OAuth عشوائيين مع عنوان إعادة التوجيه redirect_uri الذي يتحكم فيه المهاجم) ونقطة التفويض غير المحمية لإتمام تدفق عمل OAuth بالكامل دون أي تدخل من مسؤول النظام.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.