무슨 일이 있었나
AI Engine 플러그인(3.7.9 이전)은 미디어 액션에 전달된 항목이 요청 사용자에게 속하는지 확인하지 않습니다(CWE-862, CVSS 4.9). 이로 인해 Editor+ 사용자가 한 가지 결함(CVE-2026-110976)을 통해 모든 유형의 임의 게시물을 삭제하고, 관련 결함(CVE-2026-111041)을 통해 임의 게시물을 수정하거나 유형을 변경할 수 있습니다.
왜 중요한가
AI 생성 플러그인의 권한 부여 공백으로 인해 콘텐츠 담당 사용자가 자신의 역할 밖의 사이트 전체 콘텐츠(내비게이션 메뉴, 블록 템플릿, 전역 스타일)를 수정하거나 삭제할 수 있으며, WordPress에서 AI 콘텐츠 워크플로우를 실행하는 모든 조직에 영향을 미칩니다.
공격 경로
Editor+ 사용자가 플러그인이 대상 객체의 소유권/권한을 검증하지 않는 AI 미디어 액션을 호출하여 임의 게시물을 영구적으로 삭제하거나(CVE-2026-110976), 임의 게시물을 수정하거나 유형을 변경할 수 있습니다(CVE-2026-111041), 그렇지 않으면 접근할 수 없는 콘텐츠를 포함합니다.
영향받는 시스템
AI Engine WordPress 플러그인 3.7.9 미만
완화 방안
3.7.9 이상으로 업그레이드하세요. WPScan 권고 c42eabbf-f357-46cd-b008-1b18eba83bf7 및 829fef5b-915c-4762-a90d-47a08d78266b.