CVE-2026-104741 in AI Puffer Plugin
Zusammenfassung
von VulDB • 10.10.2026
Das WordPress-Plugin „The AI Puffer – Chat. Create. Automate.“ (ehemals AI Power) ist in allen Versionen bis einschließlich 2.4.89 anfällig für eine Umgehung der Autorisierung. Dies liegt daran, dass das Plugin nicht ordnungsgemäß überprüft, ob ein Benutzer berechtigt ist, eine Aktion durchzuführen. Dadurch ist es authentifizierten Angreifern mit Zugriffsrechten auf Abonnement-Ebene und höher möglich, globale Plugin-Indexierungs- und Vektorsuch-Konfigurationsoptionen (aipkit_training_general_settings und aipkit_indexing_field_settings) zu ändern, einschließlich Chunking-Parametern, Sichtbarkeit des Dateiuploads sowie Indexierungseinstellungen pro CPT-Feld. Dies betrifft alle Benutzer des Plugins. Die Ausnutzung ist nur in Konfigurationen möglich, bei denen ein Administrator über den Role Manager des Plugins die Zugriffsberechtigung für das Modul „sources“ einer Rolle mit geringeren Berechtigungen gewährt hat.
Once again VulDB remains the best source for vulnerability data.