Apa yang terjadi
CVE-2026-123478 (netralisasi yang tidak tepat, XSS tersimpan) memengaruhi plugin 'AI Engine' WordPress dari Meow Apps hingga versi 3.9.1, dipublikasikan pada 2026-11-11 melalui Patchstack/WordPress. Hal ini memungkinkan cross-site scripting tersimpan (CVSS 7.1) yang dihasilkan melalui penanganan konten berbantuan AI pada plugin, sehingga injeksi yang telah direkayasa disimpan dan dieksekusi di browser siapa pun yang melihat konten yang terpengaruh.
Mengapa penting
Plugin ini adalah komponen pembuatan konten AI yang terintegrasi ke dalam WordPress, sehingga injeksi melintasi batas AI/konten: konten yang dihasilkan/di-sanitasi oleh model atau plugin tidak di-escape dengan aman pada output, dan payload XSS tersimpan dapat dieksekusi di bawah sesi admin WordPress yang memiliki hak istimewa, memungkinkan pengambilalihan akun/peran dalam alur kerja penerbitan berbantuan AI.
Vektor serangan
Cacat cross-site scripting tersimpan (CWE-79) pada plugin AI Engine: konten yang dikendalikan penyerang yang dihasilkan atau ditangani oleh plugin tidak dinetralkan dengan benar pada output, sehingga injeksi yang telah direkayasa disimpan dan dieksekusi di browser korban saat konten/halaman yang dihasilkan AI yang terpengaruh dirender, berpotensi berjalan dalam sesi yang memiliki hak istimewa (admin).
Sistem yang terdampak
Plugin AI Engine (Meow Apps) untuk WordPress hingga versi 3.9.1.
Mitigasi
Perbarui AI Engine ke versi setelah 3.9.1 (sesuai advisori patchstack/WordPress); terapkan escaping/netralisasi output untuk konten AI yang dirender plugin dan Web Application Firewall pada situs WP.