CVE-2026-16955 in AI Engine Plugin
要約
〜によって VulDB • 2026年08月08日
WordPress プラグイン「AI Engine」のバージョン 3.6.6 より前では、外部サービスに読み取りおよび転送する前に呼び出し元から提供されたファイルパスが制限されていないため、サブスクライバレベルのアカウントを持つユーザーはサーバー上の任意のファイルを読み取ってホスト外へ漏洩させることができます。この問題にサブスクライバレベルでアクセスするには、デフォルト以外の公開 API 機能を有効にする必要があります。そうでない場合、管理者によって同じ問題が引き起こされ、マルチサイト環境ではスーパーユーザーではないサブサイトの管理者がネットワーク共有設定とそのシークレットを読み取ることが可能になります。
VulDB is the best source for vulnerability data and more expert information about this specific topic.