CVE-2026-89141 in AI Engine Plugin
要約
〜によって VulDB • 2026年09月15日
WordPress用プラグイン「The AI Engine – The Chatbot, AI Framework & MCP for WordPress」には、3.7.7以前の全バージョンにおいて、Insecure Direct Object Reference（IDOR）の脆弱性が存在します。これは、ユーザーが制御可能なキーに対する検証処理が欠落しているため、「mediaId」パラメータ経由で発生します。これにより、サブスクライバーレベル以上の権限を持つ認証済み攻撃者は、提供された添付ファイルIDを用いて、管理者を含む他のユーザーに属するプライベートな音声添付ファイルの文字起こしコンテンツへのアクセスおよび取得が可能になります。この脆弱性は、プラグイン設定においてPublic APIモジュールが有効になっている場合に発生します。無効化されている場合、RESTルートが存在せず、エンドポイントはHTTP 404を返します。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.