事件经过
NVD REST已验证（发布于2026-10-16，CVSS 8.8，CWE-434，fail-open扩展检查加弱MIME检测）。经过身份验证的低权限用户可以将可执行文件上传到服务器。
影响分析
该插件明确将自己定位为"自动化、MCP及更多"AI工具，因此WordPress主机可到达AI/智能体工具。在承载MCP端点的服务器上从订阅者账户获得RCE意味着攻击者可以从Web shell转向智能体的MCP连接器、凭据以及CRM通信的任何下游AI服务。
攻击途径
store_upload函数的扩展允许列表fail-open：当wp_check_filetype()对.php等未识别扩展名产生空类型时，extension_is_allowed()返回true，加上仅基于magic-byte的MIME检测，且除is_user_logged_in()外没有能力检查。经过身份验证的订阅者上传文件，该文件随后可被服务器执行。
受影响系统
DoubleScale | All-in-One CRM – MCP & More（WordPress）≤ 1.5.1（启用了Helpdesk模块）
缓解措施
将DoubleScale更新到1.5.1以上（Wordfence公告ID 0feed03e-fedf-4443-94e0-fbb2c8baba71）。在修补之前，如果未使用Helpdesk模块则禁用它。