CVE-2026-15988
Təsvir
WordPress üçün olan "The AI Engine – The Chatbot, AI Framework & MCP" plagini 3.6.5 daxil olmaqla bütün versiyalarda Saytlararası Sorğu Saxtalaşdırmasına (CSRF) qarşı həssasdır. Bu, reauth_for_authorize funksiyasında nonce yoxlamasının olmaması və ya yanlış tətbiqi ilə bağlıdır. Bu, autentifikasiya olunmamış hücumçulara, sayt administratorunu linkə klikləmək kimi bir hərəkət etməyə sövq edə bildikləri təqdirdə, CSRF əsaslı REST autentifikasiyadan yan keçmə vasitəsilə özlərinin təyin etdiyi məlumatlarla yeni administrator hesabları yaratmağa imkan verir. Bu yan keçmə, WordPress-in ?_method=POST metodunun override dəstəyi ilə birləşdirilərək, yuxarı naviqasiya GET sorğusunu REST istifadəçi son nöqtəsinə yönəlmiş autentifikasiya olunmuş POST sorğusuna çevirə bilər ki, bu da hücumçudan heç bir mövcud hesab tələb etmir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| tigroumeow AI Engine – The Chatbot, AI Framework & MCP for WordPress | v ≤ 3.6.5 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.