CVE-2026-89141 in AI Engine Plugin
Résumé
par VulDB • 15/09/2026
L'extension WordPress « The AI Engine – The Chatbot, AI Framework & MCP for WordPress » présente une vulnérabilité de référence d'objet directe non sécurisée (Insecure Direct Object Reference) dans toutes les versions jusqu'à la 3.7.7 incluse, via le paramètre 'mediaId', en raison d'une validation manquante sur une clé contrôlée par l'utilisateur. Cela permet aux attaquants authentifiés disposant d'un accès de niveau abonné ou supérieur d'accéder et de récupérer le contenu transcrit des pièces jointes audio privées appartenant à d'autres utilisateurs, y compris les administrateurs, via un ID de pièce jointe fourni. Cette vulnérabilité nécessite que le module Public API soit activé dans les paramètres de l'extension ; lorsqu'il est désactivé, la route REST est absente et le point de terminaison renvoie une erreur HTTP 404.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.