→ برگشت به فید آسیب‌پذیری‌ها CVE-2026-109382 · wsp-mcp-ai-agents-connector

افشای ناامن اطلاعات (Info Disclosure) در افزونه WSP MCP AI Agents Connector

متوسط plugin CVSS 6.5

افزونه WSP MCP AI Agents Connector در نسخه‌های ۲.۹.۵ و پایین‌تر دچار افشای اطلاعات حساس است؛ ابزار MCP با نام wsp_get_posts بدون الزام قابلیت مناسب ثبت شده، متد authenticate هر کاربر واردشده را می‌پذیرد و پارامتر status=all بدون فیلتر نویسنده، عنوان، نشانی، نویسنده، دسته‌بندی، برچسب و خلاصه حدود ۴۰ کلمه‌ای نوشته‌های منتشرنشده (پیش‌نویس، در انتظار بررسی و زمان‌بندی‌شده) را در اختیار مهاجم می‌گذارد. این نقص برای کاربران احراز هویت‌شده با سطح Subscriber و بالاتر قابل بهره‌برداری است و می‌تواند محتوای محرمانه یا منتشرنشده سایت را افشا کند. وصله رسمی تاکنون منتشر نشده است؛ تا زمان انتشار به‌روزرسانی امن، افزونه را موقتاً غیرفعال کنید یا دسترسی به نقطه پایانی MCP را با فایروال محدود نمایید.

نسخه‌های تحت تأثیر

<= 2.9.5

راهنمای اقدام و رفع مشکل (Remediation)

۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
۲. به‌روزرسانی سریع: افزونه یا هسته wsp-mcp-ai-agents-connector را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.

افشای ناامن اطلاعات (Info Disclosure) در افزونه WSP MCP AI Agents Connector

نسخه‌های تحت تأثیر

راهنمای اقدام و رفع مشکل (Remediation)

مراجع رسمی و مستندات

سایر آسیب‌پذیری‌های امنیتی مرتبط و اخیر