事件经过
CVE-2026-12729（CVSS 4.3 中级，于 2026-07-03 发布）影响 weDocs WordPress 插件至版本 2.3.0。do_migration() 函数注册为 wedocs_migrate_betterdocs_to_wedocs AJAX 操作，缺少能力检查，允许任何已认证的 WordPress 用户（包括订阅者级别）触发数据迁移操作。
影响分析
虽然严重性较低，但 AI 聊天机器人插件中迁移端点上缺少授权可允许低特权用户在向 AI 聊天机器人提供数据的知识库上触发破坏性数据操作——可能破坏 RAG/知识源或触发意外的数据移动，将内容暴露于错误的上下文中。
攻击途径
任何已认证的 WordPress 用户调用 wedocs_migrate_betterdocs_to_wedocs AJAX 操作；服务器在未验证用户特权的情况下执行迁移。
受影响系统
weDocs WordPress 插件 ≤ 2.3.0
缓解措施
将 weDocs 插件更新至 2.3.0 之后的版本。参考：https://nvd.nist.gov/vuln/detail/CVE-2026-12729