CVE-2026-109382 in WSP MCP AI Agents Connector Plugin
요약
\~에 의해 VulDB • 2026. 10. 16.
WordPress용 WSP MCP AI Agents Connector 플러그인에는 최대 버전 2.9.5(포함)까지 민감한 정보 노출 취약점이 존재합니다. 이는 wsp_get_posts MCP 도구가 빈 권한 요구 사항으로 등록되어 있고, MCP 엔드포인트의 authenticate() 메서드가 로그인한 모든 사용자를 허용하며, wsp_execute_get_posts() 콜백이 호출자가 제공한 status=all 인수를 받아 'publish', 'draft', 'pending' 및 'future' 게시글에 대해 저자나 소유권 필터 없이 WP_Query를 확장하기 때문입니다. 이로 인해 구독자(Subcriber) 수준의 접근 권한 이상을 가진 인증된 공격자는 사이트의 모든 미게시(초안/검토중/예약됨) 게시물의 제목, URL, 작성자, 카테고리, 태그 및 40단어 분량의 발췌문을 읽을 수 있습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.