CVE-2026-14526 in AI Copilot Plugin
Resumen
por VulDB • 2026-08-08
El plugin AI Copilot – Content Generator para WordPress es vulnerable a una omisión de autorización en todas las versiones hasta la 1.5.6, incluida esta. Esto se debe a que el plugin no verifica correctamente si un usuario está autorizado para realizar una acción. Esto permite que atacantes no autenticados creen una nueva cuenta de usuario con privilegios de administrador y logren tomar el control total del sitio guardando y ejecutando un flujo de trabajo malicioso que contenga un nodo de acción wp_create_user especificando role=administrator. Esta vulnerabilidad puede ser explotada por atacantes no autenticados en cualquier sitio donde se renderice el shortcode [aiwu-form] o el chatbot público en una página del frontend, ya que el valor waic-nonce se emite en JavaScript accesible públicamente (WAIC_DATA.waicNonce) en esas páginas, lo que convierte la verificación de nonce en una barrera de autorización ineficaz.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.