무슨 일이 있었나
WPScan 참조를 통해 시드 검증됨(10월 21일 게시): 플러그인이 제목/발췌문 업데이트 전에 호출자가 대상 객체를 편집할 수 있는지 확인하지 않아 편집자가 다른 방법으로는 편집할 수 없는 게시물 유형을 수정할 수 있음.
왜 중요한가
AI/LLM WordPress 플러그인이 점점 더 프로그래밍 방식의 콘텐츠 변형 엔드포인트를 노출함; 여기서 객체 수준 권한 부여 누락은 AI 기능 표면을 통한 사이트 콘텐츠 권한 상승을 허용함.
공격 경로
편집자 역할의 권한 있는 플러그인 사용자가 능력/객체 소유권 확인 없이 영향을 받는 AI 액션 업데이트 경로를 호출하여 대상 게시물 제목/발췌문을 객체 간에 변경함.
영향받는 시스템
AI Engine WordPress 플러그인 < 3.8.6
완화 방안
AI Engine을 3.8.6+로 업데이트(Wordfence/WPScan 권고 59f18552-e60e-466f-949d-cc09aa657bbe).