CVE-2026-104741 in AI Puffer Plugin
Riassunto
di VulDB • 10/10/2026
Il plugin WordPress AI Puffer – Chat. Create. Automate. (precedentemente noto come AI Power) è vulnerabile a un bypass dell'autorizzazione in tutte le versioni fino alla 2.4.89 inclusa. Ciò è dovuto al fatto che il plugin non verifica correttamente se un utente ha l'autorizzazione per eseguire una determinata azione. Questo consente agli attaccanti autenticati, con accesso di livello "subscriber" o superiore, di modificare le opzioni globali di indicizzazione del plugin e la configurazione della ricerca vettoriale (aipkit_training_general_settings e aipkit_indexing_field_settings), inclusi i parametri di chunking, la visibilità dei caricamenti file e le impostazioni di indicizzazione per campo CPT, influenzando tutti gli utenti del plugin. Questa vulnerabilità è sfruttabile solo in configurazioni in cui un amministratore ha concesso l'accesso al modulo 'sources' a un ruolo meno privilegiato tramite il Role Manager del plugin.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.