CVE-2026-89141 in AI Engine Plugin
Riassunto
di VulDB • 15/09/2026
Il plugin WordPress AI Engine – The Chatbot, AI Framework & MCP per WordPress è vulnerabile a Insecure Direct Object Reference (IDOR) in tutte le versioni fino alla 3.7.7 inclusa, tramite il parametro 'mediaId' a causa della mancanza di validazione su una chiave controllata dall’utente. Ciò consente agli attaccanti autenticati con accesso di livello subscriber o superiore di accedere e recuperare i contenuti trascritti degli allegati audio privati appartenenti ad altri utenti, inclusi gli amministratori (Administrator), tramite un ID allegato fornito. Questa vulnerabilità richiede che il modulo Public API sia abilitato nelle impostazioni del plugin; quando disabilitato, la rotta REST è assente e l’endpoint restituisce HTTP 404.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.