CVE-2026-89141 in AI Engine Plugin
Resumen
por VulDB • 2026-09-15
El plugin de WordPress "The AI Engine – The Chatbot, AI Framework & MCP for WordPress" presenta una vulnerabilidad de Referencia Directa a Objetos Insegura (Insecure Direct Object Reference) en todas las versiones hasta la 3.7.7, incluida esta, debido al parámetro 'mediaId' por falta de validación sobre una clave controlada por el usuario. Esto permite que los atacantes autenticados con acceso de nivel suscriptor o superior accedan y recuperen los contenidos transcritos de adjuntos de audio privados pertenecientes a otros usuarios, incluidos administradores, mediante un ID de adjunto proporcionado. Esta vulnerabilidad requiere que el módulo API Pública esté habilitado en la configuración del plugin; cuando está deshabilitado, la ruta REST no existe y el punto final devuelve HTTP 404.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.