事件经过
AI Engine 插件（3.7.9 之前版本）未能验证传递给其媒体操作的项目属于请求用户（CWE-862，CVSS 4.9）。这允许编辑器及以上用户通过一个漏洞（CVE-2026-110976）删除任意类型的文章，并通过一个孪生漏洞（CVE-2026-111041）修改/更改任意文章的类型。
影响分析
AI 生成插件中的授权缺口允许内容职责用户提升权限，修改或删除站点级内容（导航菜单、块模板、全局样式）而超出其角色范围，影响任何在 WordPress 上运行 AI 内容工作流的组织。
攻击途径
编辑器及以上用户在调用 AI 媒体操作时，插件未验证目标对象的拥有权/授权，从而永久删除任意文章（CVE-2026-110976）或修改/更改任意文章的类型（CVE-2026-111041），包括其原本无法触及的内容。
受影响系统
AI Engine WordPress 插件 3.7.9 之前版本
缓解措施
升级到 3.7.9 或更高版本。WPScan 公告 c42eabbf-f357-46cd-b008-1b18eba83bf7 和 829fef5b-915c-4762-a90d-47a08d78266b。