CVE-2026-15988 in AI Engine Plugin
요약
\~에 의해 VulDB • 2026. 08. 01.
WordPress용 AI Engine – The Chatbot, AI Framework & MCP 플러그인은 3.6.5 버전까지 모든 버전에서 Cross-Site Request Forgery(CSRF) 취약점이 존재합니다. 이는 reauth_for_authorize 함수에서 nonce 검증이 누락되었거나 잘못되어 발생합니다. 이를 통해 공격자는 사이트 관리자를 클릭 링크와 같은 행동을 수행하도록 속여, CSRF 기반 REST 인증 우회를 통해 관리자 권한의 새 계정을 생성할 수 있습니다(공격자가 제공한 자격 증명을 사용). 이 우회 기법은 WordPress의 ?_method=POST 메서드 오버라이드 지원을 결합하여 최상위 네비게이션 GET 요청을 REST users 엔드포인트로의 인증된 POST 요청으로 변환할 수 있으며, 공격자는 기존 계정이 필요하지 않습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.