何が起きたか
WPScan参照を介してシード検証済み（公開日10月21日）：プラグインはタイトル/抜粋を更新する前に、呼び出し元が対象オブジェクトを編集できるかどうかをチェックしないため、編集者が通常編集できない投稿タイプを変更できる。
なぜ重要か
AI/LLM WordPressプラグインは、プログラムによるコンテンツ変更エンドポイントを公開することが増えている。ここでのオブジェクトレベルの認可欠如により、AI機能サーフェスを介したサイトコンテンツへの権限昇格が可能になる。
攻撃経路
Editorロールを持つ認可されたプラグインユーザーは、ケイパビリティ/オブジェクト所有権チェックなしに影響を受けるAIアクション更新パスを呼び出し、オブジェクト間で対象投稿のタイトル/抜粋を変更する。
影響を受けるシステム
AI Engine WordPressプラグイン < 3.8.6
緩和策
AI Engineを3.8.6+に更新すること（Wordfence/WPScanアドバイザリ 59f18552-e60e-466f-949d-cc09aa657bbe）。