Apa yang terjadi
Diverifikasi oleh NVD REST (dipublikasikan 2026-10-16, CVSS 8.8, CWE-434, pemeriksaan ekstensi gagal-terbuka plus deteksi MIME lemah). Pengguna terautentikasi dengan hak istimewa rendah dapat mengunggah file yang dapat dieksekusi ke server.
Mengapa penting
Plugin ini secara eksplisit menandai dirinya sebagai alat AI 'Otomasi, MCP & Lebih Banyak Lagi', sehingga host WordPress menjangkau perangkat AI/agen. RCE dari akun subscriber di server yang menampung titik akhir MCP berarti penyerang dapat berpindah dari web shell ke konektor MCP agen, kredensial, dan layanan AI hilir apa pun yang diajak bicara oleh CRM.
Vektor serangan
Fungsi store_upload dari daftar-izinkan ekstensi gagal-terbuka: extension_is_allowed() mengembalikan true ketika wp_check_filetype() menghasilkan tipe kosong untuk ekstensi yang tidak dikenal seperti .php, dikombinasikan dengan deteksi MIME hanya-magic-byte dan tanpa pemeriksaan kemampuan selain is_user_logged_in(). Subscriber terautentikasi mengunggah file yang kemudian dapat dieksekusi oleh server.
Sistem yang terdampak
DoubleScale | All-in-One CRM – MCP & More (WordPress) ≤ 1.5.1 (modul Helpdesk diaktifkan)
Mitigasi
Perbarui DoubleScale melewati 1.5.1 (id advisory Wordfence 0feed03e-fedf-4443-94e0-fbb2c8baba71). Sampai ditambal, nonaktifkan modul Helpdesk jika tidak digunakan.