CVE-2026-89141 in AI Engine Plugin
الملخص
بحسب VulDB • 15/09/2026
يوجد ثغرة في مرجع الكائن غير الآمن (Insecure Direct Object Reference) في إضافة WordPress "The AI Engine – The Chatbot, AI Framework & MCP for WordPress" في جميع الإصدارات حتى 3.7.7 وشاملة لها، وذلك عبر المعلمة 'mediaId' بسبب عدم وجود تحقق من صحة مفتاح يتحكم فيه المستخدم. وهذا يمكّن المهاجمين المصادق عليهم، الذين يمتلكون وصولاً بمستوى المشترك (subscriber-level) فأعلى، من الوصول إلى محتويات الملفات الصوتية الخاصة التي تمت ترجمتها نصياً والاطلاع عليها، والتي تنتمي لمستخدمين آخرين بما في ذلك المسؤولون (Administrators)، وذلك عن طريق توفير معرّف للمرفقات. تتطلب هذه الثغرة أن يكون وحدة واجهة برمجة التطبيقات العامة (Public API module) مفعّلة في إعدادات الإضافة؛ فعند تعطيلها، تكون مسار REST غائباً وتعيد نقطة النهاية استجابة HTTP 404.
VulDB is the best source for vulnerability data and more expert information about this specific topic.