PT-2026-41513 · WordPress · Ai Engine

Daroo · Publicado 2026-05-17 · Atualizado 2026-05-18 · CVE-2026-8719

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas The AI Engine – The Chatbot, AI Framework & MCP for WordPress versão 3.4.9

Descrição A ausência de imposição de capacidades do WordPress no caminho de autorização do token portador (bearer-token) do MCP OAuth permite que usuários autenticados com privilégios de Assinante (Subscriber) ou superiores obtenham acesso não autorizado. Como o sistema concede acesso ao MCP para qualquer token OAuth válido sem verificar privilégios de administrador, invasores podem invocar ferramentas MCP de nível administrativo para elevar seus privilégios para Administrador.

Recomendações Atualize o The AI Engine – The Chatbot, AI Framework & MCP for WordPress para uma versão posterior à 3.4.9.

Correção

LPE

Improper Privilege Management

Enumeração de Fraquezas

CWE-269

Identificadores relacionados

CVE-2026-8719

Produtos afetados

Ai Engine

Referências · 7

• https://t.me/cveNotify/163757 · Publicação no Telegram
• https://twitter.com/vuldb/status/2056243023370137753 · Publicação no Twitter
• https://t.me/CVEtracker/54030 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/2055872075336745262 · Publicação no Twitter
• https://plugins.trac.wordpress.org/changeset/3533527/ai-engine · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-8719 · Nota de Segurança
• https://wordfence.com/threat-intel/vulnerabilities/id/0593c20d-3422-4817-9639-614254b609db?source=cve · Nota