CVE-2026-109382
Təsvir
WordPress üçün nəzərdə tutulmuş WSP MCP AI Agents Connector plagini 2.9.5 versiyası daxil olmaqla, daha aşağı versiyalarda Həssas Məlumatların Açılmasına (Sensitive Information Disclosure) qarşı həssasdır. Bu, wsp_get_posts MCP alətinin boş səlahiyyət tələbi ilə qeydiyyata alınması, MCP son nöqtəsinin authenticate() metodunun hər hansı daxil olmuş istifadəçini qəbul etməsi və wsp_execute_get_posts() geri çağırma funksiyasının çağırıcı tərəfindən təmin edilən və müəllif və ya mülkiyyət filtri olmadan 'publish', 'draft', 'pending' və 'future' yazılarını əhatə edən WP_Query-yə çevrilən status=all arqumentini qəbul etməsi səbəbindən baş verir. Bu, Abunəçi (Subscriber) və daha yuxarı səviyyəli giriş hüququ olan autentifikasiya olunmuş hücumçulara saytdakı bütün dərc olunmamış (qaralama/gözləyən/planlaşdırılmış) yazıların başlıqlarını, URL-lərini, müəlliflərini, kateqoriyalarını, teqlərini və 40 sözlük xülasələrini oxumağa imkan verir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| bilalnaseer WSP MCP – Free MCP Plugin for WordPress: Connect Claude, ChatGPT & AI Agents | v ≤ 2.9.5 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.