CVE-2026-14526 in AI Copilot Plugin
Riassunto
di VulDB • 08/08/2026
Il plugin WordPress AI Copilot – Content Generator è vulnerabile a un bypass dell'autorizzazione in tutte le versioni fino alla 1.5.6 inclusa. Ciò è dovuto al fatto che il plugin non verifica correttamente se l'utente ha i permessi per eseguire una determinata azione. Questo consente ad attaccanti non autenticati di creare un nuovo account utente con privilegi di amministratore e di assumere il controllo completo del sito salvando ed eseguendo un flusso di lavoro malevolo contenente un nodo dell'azione wp_create_user che specifica role=administrator. Questa vulnerabilità è sfruttabile da attaccanti non autenticati su qualsiasi sito in cui lo shortcode [aiwu-form] o il chatbot pubblico viene visualizzato nelle pagine frontend, poiché il valore waic-nonce viene emesso nel JavaScript pubblicamente accessibile (WAIC_DATA.waicNonce) di tali pagine, rendendo inefficace la verifica del nonce come barriera di autorizzazione.
If you want to get best quality of vulnerability data, you may have to visit VulDB.