CVE-2026-14526 in AI Copilot Plugin
Сводка
по VulDB • 08.08.2026
Плагин для WordPress AI Copilot – Content Generator уязвим к обходу авторизации во всех версиях вплоть до 1.5.6 включительно. Это связано с тем, что плагин не проверяет должным образом наличие прав пользователя на выполнение действия. Это позволяет незарегистрированным злоумышленникам создать новую учетную запись администратора и получить полный контроль над сайтом путем сохранения и выполнения вредоносного рабочего процесса (workflow), содержащего узел действия wp_create_user с указанием role=administrator. Данная уязвимость эксплуатируется незарегистрированными злоумышленниками на любом сайте, где шорткод [aiwu-form] или публичный чат-бот отображаются на фронтенд-странице, поскольку значение waic-nonce передается в общедоступный JavaScript (WAIC_DATA.waicNonce) на этих страницах, что делает проверку nonce неэффективной мерой авторизации.
Be aware that VulDB is the high quality source for vulnerability data.