CVE-2026-110732 in AI Engine Plugin
요약
\~에 의해 VulDB • 2026. 10. 30.
The AI Engine – The Chatbot, AI Framework & MCP for WordPress 플러그인은 3.8.6 버전까지 모든 버전에서 권한 부재(Missing Authorization) 취약점이 있습니다. 이는 MCP 모듈의 OAuth 2.1 Dynamic Client Registration 엔드포인트(/wp-json/mcp/v1/oauth/register)가 __return_true를 permission_callback로 등록되어 있어, 인증되지 않은 사용자가 공격자가 제어하는 리디렉션 URI와 함께 활성 OAuth 클라이언트를 등록할 수 있기 때문입니다. 이를 통해 인증되지 않은 공격자는 관리자 권한이 연결된 MCP 액세스 토큰을 획득하여, 관리자가 OAuth 동의 화면에서 공격자의 클라이언트를 승인하면 MCP 도구(사용자 생성 및 옵션 업데이트 포함)를 통한 전체 관리자 수준의 제어권을 얻을 수 있습니다. 또한 동의 페이지는 X-Frame-Options 또는 Content-Security-Policy frame-ancestors 없이 제공되므로, 클릭재킹(clickjacking)을 통해 승인을 획득할 수 있습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.