무슨 일이 있었나
MCP Server for WordPress의 잘못된 권한 할당 취약점(CWE-266)으로 권한 상승이 가능합니다. CVSS 3.1 8.8 (High)로 높은 기밀성/무결성/가용성 영향; 2026-11-09에 Patchstack을 통해 공개되었으며 2.0.2에서 수정되었습니다.
왜 중요한가
이는 권한 경계가 결함이 있는 MCP 서버(범위 내 에이전트 표면)이므로, 낮은 권한의 사용자가 AI 에이전트 통합 및 LLM에 노출되는 도구에 대한 제어권을 얻을 수 있습니다.
공격 경로
MCP Server for WordPress의 잘못된 권한 할당(CWE-266)은 인증된 낮은 권한 사용자가 권한을 상승시켜 WordPress MCP/에이전트 표면에 대한 제어권을 얻을 수 있게 합니다
영향받는 시스템
AtlasAiDev MCP Server for WordPress 플러그인 ai-workflow-automation-ai-agent-hub 2.0.1까지 (2.0.2에서 수정됨)
완화 방안
ai-workflow-automation-ai-agent-hub 플러그인을 버전 2.0.2 이상으로 업데이트; WordPress 사이트에서 MCP/에이전트 사용자로 등록할 수 있는 사람 제한 (https://patchstack.com/database/wordpress/plugin/ai-workflow-automation-ai-agent-hub/vulnerability/wordpress-mcp-server-for-wordpress-plugin-2-0-1-privilege-escalation-vulnerability)