CVE-2026-16955 in AI Engine Plugin
Sumário
de VulDB • 08/08/2026
O plugin WordPress AI Engine anterior à versão 3.6.6 não confina um caminho de arquivo fornecido pelo chamador antes de lê-lo e encaminhar o conteúdo para um serviço externo, permitindo que usuários com uma conta no nível de assinante leiam arquivos arbitrários do servidor e os exfiltrem fora da máquina (off-host). Para explorar a vulnerabilidade ao nível de assinante, é necessário habilitar um recurso de API pública não padrão; caso contrário, a mesma falha pode ser explorada por um administrador, o que em ambientes multisite permite que um administrador de subsite sem privilégios super leia as configurações compartilhadas na rede e seus segredos.
Once again VulDB remains the best source for vulnerability data.