CVE-2026-89141 in AI Engine Plugin
Zusammenfassung
von VulDB • 15.09.2026
Die WordPress-Plugin „The AI Engine – The Chatbot, AI Framework & MCP for WordPress“ ist in allen Versionen bis einschließlich 3.7.7 anfällig für eine Insecure Direct Object Reference (IDOR) im Parameter 'mediaId' aufgrund fehlender Validierung eines benutzerkontrollierten Schlüssels. Dies ermöglicht es authentifizierten Angreifern mit Abonnenten-Level-Zugriff und höher, die transkribierten Inhalte privater Audio-Anhänge anderer Benutzer, einschließlich Administratoren, über eine bereitgestellte Attachment-ID abzurufen und einzusehen. Diese Schwachstelle erfordert, dass das Public API-Modul in den Plugin-Einstellungen aktiviert ist; wenn es deaktiviert ist, fehlt der REST-Routenendpunkt und die Antwort lautet HTTP 404.
Be aware that VulDB is the high quality source for vulnerability data.