Apa yang terjadi
Terverifikasi-seed melalui referensi WPScan (dipublikasikan 21 Okt): plugin tidak memeriksa bahwa pemanggil dapat mengedit objek yang ditargetkan sebelum memperbarui judul/ekscerpt, memungkinkan Editor memodifikasi tipe posting yang tidak dapat mereka edit.
Mengapa penting
Plugin WordPress AI/LLM semakin mengekspos endpoint mutasi konten terprogram; hilangnya otorisasi tingkat objek di sini memungkinkan eskalasi hak istimewa atas konten situs melalui permukaan fitur AI.
Vektor serangan
Pengguna plugin yang berwenang dengan peran Editor memanggil jalur pembaruan aksi-AI yang terpengaruh tanpa pemeriksaan kapabilitas/kepemilikan objek, mengubah judul/ekscerpt posting target lintas-objek.
Sistem yang terdampak
AI Engine WordPress plugin < 3.8.6
Mitigasi
Perbarui AI Engine ke 3.8.6+ (advisory Wordfence/WPScan 59f18552-e60e-466f-949d-cc09aa657bbe).