→ برگشت به فید آسیب‌پذیری‌ها CVE-2026-110732 · ai-engine

تصاحب حساب کاربری (Account Takeover) در افزونه AI Engine – MCP Server & AI Chatbot for WordPress, with Claude, ChatGPT & Gemini

بالا plugin CVSS 7.5

در افزونه AI Engine تا نسخه ۳.۸.۶، نقطه پایانی ثبت پویای کلاینت OAuth 2.1 در ماژول MCP بدون بررسی مجوز در دسترس است و کاربر احرازهویت‌نشده می‌تواند یک کلاینت OAuth فعال با نشانی بازگشت تحت کنترل خود ثبت کند. اگر مدیر، کلاینت مهاجم را در صفحه رضایت OAuth تأیید کند، مهاجم می‌تواند توکن دسترسی MCP در سطح مدیر بگیرد و از راه ابزارهای MCP، از جمله ایجاد کاربر و تغییر تنظیمات، کنترل کامل مدیریتی سایت را به‌دست آورد. چون وصله امنیتی منتشر شده است، افزونه را فوراً به نسخه‌ای جدیدتر از ۳.۸.۶ به‌روزرسانی کنید.

نسخه‌های تحت تأثیر

<= 3.8.6

راهنمای اقدام و رفع مشکل (Remediation)

۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
۲. به‌روزرسانی سریع: افزونه یا هسته ai-engine را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.

تصاحب حساب کاربری (Account Takeover) در افزونه AI Engine – MCP Server & AI Chatbot for WordPress, with Claude, ChatGPT & Gemini

نسخه‌های تحت تأثیر

راهنمای اقدام و رفع مشکل (Remediation)

مراجع رسمی و مستندات

سایر آسیب‌پذیری‌های امنیتی مرتبط و اخیر