何が起きたか
AI Engineプラグイン（3.7.9より前）は、メディアアクションに渡されるアイテムがリクエストユーザーに属していることを検証していません（CWE-862、CVSS 4.9）。これにより、Editor+ユーザーが一つの脆弱性（CVE-2026-110976）で任意の種類の投稿を削除し、別の関連脆弱性（CVE-2026-111041）で任意の投稿を変更・型変更できます。
なぜ重要か
AI生成プラグインの認可ギャップにより、コンテンツ担当ユーザーが自分のロール外のサイト全体のコンテンツ（ナビメニュー、ブロックテンプレート、グローバルスタイル）を変更または削除でき、WordPress上でAIコンテンツワークフローを実行する組織に影響を与えます。
攻撃経路
Editor+ユーザーがAIメディアアクションを呼び出す際、プラグインがターゲットオブジェクトの所有権/認可を検証しないため、任意の投稿を恒久的に削除（CVE-2026-110976）または任意の投稿を変更・型変更（CVE-2026-111041）でき、通常は触れられないコンテンツも含まれます。
影響を受けるシステム
AI Engine WordPressプラグイン 3.7.9より前
緩和策
3.7.9以降にアップグレード。WPScan勧告 c42eabbf-f357-46cd-b008-1b18eba83bf7 および 829fef5b-915c-4762-a90d-47a08d78266b。