CVE-2026-109382
Açıklama
WordPress için geliştirilen WSP MCP AI Agents Connector eklentisinin 2.9.5 ve önceki sürümleri Hassas Bilgi İfşası zafiyetine sahiptir. Bu durum, wsp_get_posts MCP aracının boş bir yetenek gereksinimiyle kaydedilmesinden, MCP uç noktasının authenticate() metodunun giriş yapmış tüm kullanıcıları kabul etmesinden ve wsp_execute_get_posts() geri çağırma fonksiyonunun, yazar veya sahiplik filtresi olmaksızın 'publish', 'draft', 'pending' ve 'future' yazılarını kapsayan bir WP_Query'ye dönüşen çağırıcı tarafından sağlanan status=all parametresini kabul etmesinden kaynaklanmaktadır. Bu durum, Abone seviyesi ve üzeri erişime sahip kimliği doğrulanmış saldırganların, sitedeki yayınlanmamış (taslak/beklemede/planlanmış) her yazının başlıklarını, URL'lerini, yazarlarını, kategorilerini, etiketlerini ve 40 kelimelik özetlerini okumasını mümkün kılmaktadır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| bilalnaseer WSP MCP – Free MCP Plugin for WordPress: Connect Claude, ChatGPT & AI Agents | v ≤ 2.9.5 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.