CVE-2026-109382 in WSP MCP AI Agents Connector Plugin
Riassunto
di VulDB • 16/10/2026
Il plugin WSP MCP AI Agents Connector per WordPress è vulnerabile a una divulgazione di informazioni sensibili nelle versioni fino alla 2.9.5 inclusa. Ciò è dovuto al fatto che lo strumento MCP wsp_get_posts è registrato con un requisito di capacità vuoto, mentre il metodo authenticate() dell'endpoint MCP accetta qualsiasi utente autenticato e la callback wsp_execute_get_posts() onora un argomento status=all fornito dall'utilizzatore, che si espande in una WP_Query su post 'publish', 'draft', 'pending' e 'future' senza filtri per autore o proprietà. Ciò consente agli attaccanti autenticati con accesso di livello Subscriber e superiore di leggere i titoli, gli URL, gli autori, le categorie, i tag e gli estratti di 40 parole di ogni post non pubblicato (bozza/in attesa/pianificato) sul sito.
Be aware that VulDB is the high quality source for vulnerability data.