AI Engineの脆弱性、認証なしで管理者権限を奪われるおそれ
Summary
AI Engineの脆弱性により、認証のない攻撃者が管理者に紐づくMCPアクセストークンを取得し、ユーザー作成やオプション変更などの管理者権限の操作を行えるおそれがあります。影響するのは3.8.6以前の版で、管理者が偽の同意画面を承認すると悪用されるおそれもあります。公開された情報では修正版は確認できていないため、最新の情報を確認してください。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
AI Engineの脆弱性により、認証のない攻撃者が管理者に紐づくMCPアクセストークンを取得し、ユーザー作成やオプション変更などの管理者権限の操作を行えるおそれがあります。影響するのは3.8.6以前の版で、管理者が偽の同意画面を承認すると悪用されるおそれもあります。公開された情報では修正版は確認できていないため、最新の情報を確認してください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| tigroumeow | AI Engine – MCP Server & AI Chatbot for WordPress, with Claude, ChatGPT & Gemini |
≤ 3.8.6 |
— |
Original description The description as published by the source.
The AI Engine – The Chatbot, AI Framework & MCP for WordPress plugin for WordPress is vulnerable to Missing Authorization in all versions up to, and including, 3.8.6 This is due to the MCP module's OAuth 2.1 Dynamic Client Registration endpoint (/wp-json/mcp/v1/oauth/register) being registered with a permission_callback of __return_true, allowing an unauthenticated user to register an active OAuth client with an attacker-controlled redirect URI. This makes it possible for unauthenticated attackers to obtain an administrator-bound MCP access token, and thereby full administrator-level control through the MCP tools (including user creation and option updates), once an administrator approves the attacker's client on the OAuth consent screen. The consent page is additionally served without X-Frame-Options or Content-Security-Policy frame-ancestors, so that approval can be obtained via clickjacking.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory