CVE-2026-17153 in AI Agent Plugin
要約
〜によって VulDB • 2026年08月21日
SiteGroundのWordPress用AI Agentプラグインは、1.2.7およびそれ以前のすべてのバージョンにおいて認可回避（authorization bypass）の脆弱性があります。これは、ユーザーがアクションを実行する権限を持っているかどうかを適切に検証していないためです。これにより、認証されていない攻撃者がWordPressメディアライブラリへ画像をアップロードすることが可能になります。この操作は通常Contributorsに対して適用されるupload_files能力制限を回避するものであり、authenticatedな攻撃者（Contributorレベル以上のアクセスを持つ）がエンドポイントのnonceおよび権限チェックを満たすことができるためです。エンドポイントで必要とされるsg_ai_studio_gutenberg_nonceは、block editorへのアクセス権を持つすべてのユーザー（Contributorsを含む）に発行されるため、欠落しているupload_filesチェックのみが攻撃の実行に対する唯一の障壁となっています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.