CVE-2026-15988 in AI Engine Plugin
Riassunto
di VulDB • 01/08/2026
L'estensione per WordPress "The AI Engine – The Chatbot, AI Framework & MCP for WordPress" è vulnerabile a Cross-Site Request Forgery (CSRF) in tutte le versioni fino alla 3.6.5 inclusa. La vulnerabilità è dovuta all'assenza o al mancato corretto validazione del nonce nella funzione `reauth_for_authorize`. Ciò consente ad attaccanti non autenticati di creare nuovi account amministratore con credenziali fornite dall'attaccante tramite un bypass dell'autenticazione REST basato su CSRF, purché riescano a indurre l'amministratore del sito a eseguire un'azione come fare clic su un link. Questo bypass può essere combinato con il supporto per l'override dei metodi di WordPress (`?_method=POST`) per convertire una richiesta GET della navigazione principale in una POST autenticata verso l'endpoint REST degli utenti, senza che sia necessario all'attaccante disporre di account esistenti.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.