CVE-2026-14526 in AI Copilot Plugin
Tóm tắt
Bởi VulDB • 08/08/2026
Plugin AI Copilot – Content Generator cho WordPress bị lỗ hổng bỏ qua xác thực ủy quyền trong tất cả các phiên bản từ 1.5.6 trở về trước (bao gồm cả 1.5.6). Nguyên nhân là do plugin không kiểm tra đúng cách liệu người dùng có được phép thực hiện một hành động hay không. Điều này cho phép những kẻ tấn công chưa được xác thực tạo tài khoản người dùng cấp quản trị viên mới và chiếm quyền điều khiển toàn bộ trang web bằng cách lưu trữ và thực thi một quy trình làm việc độc hại chứa nút wp_create_user với role=administrator. Lỗ hổng này có thể bị khai thác bởi các kẻ tấn công chưa được xác thực trên bất kỳ trang web nào mà shortcode [aiwu-form] hoặc chatbot công cộng được hiển thị trên trang frontend, vì giá trị waic-nonce được phát ra vào JavaScript truy cập công khai (WAIC_DATA.waicNonce) trên những trang đó, khiến việc kiểm tra nonce trở thành một rào cản xác thực ủy quyền không hiệu quả.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.