事件经过
WordPress AI Engine插件的MCP OAuth动态客户端注册端点缺少授权，允许对MCP OAuth服务进行未认证的注册。
影响分析
AI Engine为WordPress添加了MCP服务器接口。缺少授权的未认证OAuth注册端点允许攻击者针对站点的AI聊天机器人和连接的工具注入或消耗MCP客户端/凭据。
攻击途径
MCP模块的OAuth 2.1动态客户端注册端点未经过适当授权即注册，因此未认证调用者可以在WordPress站点上注册/消耗MCP客户端或滥用注册流程。
受影响系统
AI Engine – 聊天机器人、AI框架与WordPress MCP，版本至3.8.6（含）。
缓解措施
更新到已授权/wp-json/mcp/v1/oauth/register端点的AI Engine版本；如果尚未修复，请禁用MCP OAuth模块。