Apa yang terjadi
Plugin AI Engine (sebelum 3.7.9) gagal memverifikasi bahwa item yang diberikan ke aksi medianya milik pengguna yang meminta (CWE-862, CVSS 4.9). Ini memungkinkan pengguna Editor+ menghapus posting arbitrer dari jenis apa pun melalui satu celah (CVE-2026-110976) dan memodifikasi/mengubah jenis posting arbitrer melalui celah saudara (CVE-2026-111041).
Mengapa penting
Celah otorisasi pada plugin pembuatan AI memungkinkan pengguna yang bertugas konten meningkatkan hak untuk memodifikasi atau menghapus konten seluruh situs (menu nav, template blok, gaya global) di luar peran mereka, berdampak pada organisasi mana pun yang menjalankan alur kerja konten AI di WordPress.
Vektor serangan
Pengguna Editor+ memanggil aksi media AI tanpa plugin memverifikasi kepemilikan/otorisasi objek target, menghapus permanen posting arbitrer (CVE-2026-110976) atau memodifikasi/mengubah jenis posting arbitrer (CVE-2026-111041), termasuk konten yang seharusnya tidak dapat mereka sentuh.
Sistem yang terdampak
AI Engine WordPress plugin sebelum 3.7.9
Mitigasi
Tingkatkan ke 3.7.9 atau lebih baru. Advisory WPScan c42eabbf-f357-46cd-b008-1b18eba83bf7 dan 829fef5b-915c-4762-a90d-47a08d78266b.