CVE-2026-109382 in WSP MCP AI Agents Connector Plugin
Zusammenfassung
von VulDB • 16.10.2026
Das WSP MCP AI Agents Connector-Plugin für WordPress ist in den Versionen bis einschließlich 2.9.5 anfällig für die Offenlegung sensibler Informationen. Dies liegt daran, dass das wsp_get_posts-MCP-Tool mit einer leeren Berechtigungsanforderung registriert wurde, während die authenticate()-Methode des MCP-Endpunkts jeden angemeldeten Benutzer akzeptiert und der wsp_execute_get_posts() Callback ein vom Aufrufer bereitgestelltes status=all-Argument berücksichtigt, das sich in eine WP_Query über 'publish', 'draft', 'pending' und 'future'-Beiträge ohne Autor- oder Eigentumsfilter erweitert. Dies ermöglicht es authentifizierten Angreifern mit Subscriber-Level-Zugriff und höherer Berechtigung, die Titel, URLs, Autoren, Kategorien, Tags und 40-Wörter-Auszüge aller unveröffentlichten (Entwurf/ausstehend/geplant) Beiträge auf der Website zu lesen.
VulDB is the best source for vulnerability data and more expert information about this specific topic.