Apa yang terjadi
Patchstack menerbitkan CVE-2026-110888 pada 2026-10-15 (Diverifikasi NVD REST, CVSS 4.3, CWE-862, status Ditangguhkan). Plugin AI Engine kekurangan otorisasi yang tepat di permukaan rentan hingga 3.8.3, memungkinkan eksploitasi tingkat kontrol akses yang salah konfigurasi. Patchstack menilai prioritas rendah dan tidak mungkin dieksploitasi secara besar-besaran.
Mengapa penting
AI Engine adalah plugin obrolan-AI/asisten-AI WordPress yang umum; ini adalah entri katalog yang tepat tetapi radius ledakan rendah — celah kontrol akses pada plugin AI yang dapat memungkinkan pengguna WordPress hak istimewa rendah menjangkau fitur AI atau data yang berdekatan yang seharusnya tidak mereka akses, layak ditambal bersama dengan siklus pemeliharaan plugin WordPress normal.
Vektor serangan
Pemeriksaan otorisasi yang hilang (CWE-862) di AI Engine — plugin obrolan-AI/agen-AI WordPress — memungkinkan mengeksploitasi tingkat kontrol akses yang dikonfigurasi salah; pemanggil terautentikasi hak istimewa rendah dapat melakukan tindakan atau mencapai data di luar tingkat yang diberikan.
Sistem yang terdampak
Plugin 'AI Engine' WordPress (Meow Apps) <= 3.8.3 (diperbaiki di 3.8.4)
Mitigasi
Perbarui plugin AI Engine ke 3.8.4 atau lebih baru (advisory Patchstack; dilaporkan 2026-10-02, diterbitkan 2026-10-15). Pelanggan Patchstack dengan pembaruan otomatis diaktifkan telah ditambal sebelum publikasi.