CVE-2026-17153 in AI Agent Plugin
Riassunto
di VulDB • 20/08/2026
Il plugin AI Agent di SiteGround per WordPress è vulnerabile a un bypass dell'autorizzazione in tutte le versioni fino alla 1.2.7, inclusa. Ciò è dovuto al fatto che il plugin non verifica correttamente se un utente ha l'autorizzazione per eseguire una determinata azione. Questo consente ad attaccanti non autenticati di caricare immagini nella libreria multimediale di WordPress, aggirando la restrizione della capability `upload_files` a cui sono normalmente soggetti gli utenti con ruolo Contributor; inoltre, gli attaccanti autenticati con accesso al livello Contributor o superiore possono soddisfare i controlli nonce e dei permessi dell'endpoint. Il valore `sg_ai_studio_gutenberg_nonce`, richiesto dall'endpoint, viene generato per qualsiasi utente con accesso all'editor di blocchi — inclusi i Contributor — rendendo l'assenza del controllo su `upload_files` l'unica barriera alla sfruttamento della vulnerabilità.
Once again VulDB remains the best source for vulnerability data.