Apa yang terjadi
Kerentanan penetapan hak istimewa yang salah (CWE-266) di MCP Server untuk WordPress memungkinkan eskalasi hak istimewa. CVSS 3.1 8.8 (Tinggi) dengan dampak kerahasiaan/integritas/ketersediaan Tinggi; diterbitkan 2026-11-09 melalui Patchstack dengan perbaikan di 2.0.2.
Mengapa penting
Ini adalah server MCP (permukaan agentik dalam cakupan) yang batas hak istimewanya cacat, sehingga pengguna dengan hak istimewa rendah dapat memperoleh kendali atas integrasi agen AI dan alat yang dieksposnya ke LLM.
Vektor serangan
Penetapan Hak Istimewa yang Salah (CWE-266) di MCP Server untuk WordPress memungkinkan pengguna terautentikasi dengan hak istimewa rendah meningkatkan hak istimewa, berpotensi menguasai permukaan MCP/agen WordPress
Sistem yang terdampak
Plugin AtlasAiDev MCP Server untuk WordPress ai-workflow-automation-ai-agent-hub hingga 2.0.1 (diperbaiki di 2.0.2)
Mitigasi
Perbarui plugin ai-workflow-automation-ai-agent-hub ke versi 2.0.2 atau lebih baru; batasi siapa yang dapat mendaftar sebagai pengguna MCP/agen di situs WordPress (https://patchstack.com/database/wordpress/plugin/ai-workflow-automation-ai-agent-hub/vulnerability/wordpress-mcp-server-for-wordpress-plugin-2-0-1-privilege-escalation-vulnerability)