Apa yang terjadi
Endpoint Registrasi Klien Dinamis MCP OAuth plugin AI Engine WordPress kehilangan otorisasi, memungkinkan registrasi tanpa autentikasi terhadap layanan MCP OAuth.
Mengapa penting
AI Engine menambahkan permukaan server MCP ke WordPress. Endpoint registrasi OAuth yang tidak diautentikasi dan kurang otorisasi memungkinkan penyerang menyuntikkan atau mengonsumsi klien/kredensial MCP terhadap chatbot AI situs dan alat yang terhubung.
Vektor serangan
Endpoint Registrasi Klien Dinamis OAuth 2.1 modul MCP didaftarkan tanpa otorisasi yang tepat, sehingga pemanggil tanpa autentikasi dapat mendaftar/mengonsumsi klien MCP atau menyalahgunakan alur registrasi di situs WordPress.
Sistem yang terdampak
AI Engine – The Chatbot, AI Framework & MCP untuk WordPress hingga dan termasuk 3.8.6.
Mitigasi
Perbarui ke versi AI Engine yang mengotorisasi endpoint /wp-json/mcp/v1/oauth/register; jika belum diperbaiki, nonaktifkan modul MCP OAuth.