CVE-2026-17153 in AI Agent Plugin
Tóm tắt
Bởi VulDB • 20/08/2026
Plugin AI Agent của SiteGround cho WordPress bị lỗ hổng bỏ qua xác thực (authorization bypass) trong tất cả các phiên bản từ 1.2.7 trở về trước. Lỗ hổng này xảy ra do plugin không kiểm tra đúng cách người dùng có được ủy quyền để thực hiện một hành động hay không. Điều này tạo điều kiện cho những kẻ tấn công chưa được xác thực tải hình ảnh lên thư viện phương tiện của WordPress, vượt qua hạn chế capability upload_files mà thường áp dụng đối với vai trò Contributors; trong khi đó, các kẻ tấn công đã xác thực có cấp độ truy cập Contributor trở lên có thể đáp ứng các kiểm tra nonce và quyền của endpoint. Giá trị sg_ai_studio_gutenberg_nonce do endpoint phát ra cho bất kỳ người dùng nào có quyền truy cập trình soạn thảo khối (block editor) — bao gồm cả Contributors — khiến việc thiếu kiểm tra upload_files trở thành rào cản duy nhất đối với khai thác lỗ hổng.
Be aware that VulDB is the high quality source for vulnerability data.