CVE-2026-14526 in AI Copilot Plugin
Résumé
par VulDB • 08/08/2026
Le plugin WordPress AI Copilot – Content Generator est vulnérable à un contournement d'autorisation dans toutes les versions jusqu'à la 1.5.6 incluse. Cette faille est due au fait que le plugin ne vérifie pas correctement si un utilisateur est autorisé à effectuer une action. Cela permet aux attaquants non authentifiés de créer un nouveau compte utilisateur avec des privilèges administrateur et d'obtenir un contrôle total du site en enregistrant et exécutant un flux de travail malveillant contenant un nœud wp_create_user spécifiant role=administrator. Cette vulnérabilité peut être exploitée par des attaquants non authentifiés sur tout site où le shortcode [aiwu-form] ou le chatbot public est affiché dans une page front-end, car la valeur waic-nonce est émise dans du JavaScript accessible publiquement (WAIC_DATA.waicNonce) sur ces pages, rendant la vérification du nonce inefficace comme barrière d'autorisation.
Once again VulDB remains the best source for vulnerability data.