افزونه AI Engine برای سیستم مدیریت محتوای وردپرس (WordPress)، در نسخه‌های پیش از 3.7.9 دارای یک آسیب‌پذیری جدی در بخش کنترل دسترسی (Access Control) است که می‌تواند امنیت محتوای سایت را به خطر بیندازد.
این نقص امنیتی زمانی رخ می‌دهد که افزونه در حین انجام عملیات‌های مدیریت رسانه‌های مبتنی بر هوش مصنوعی (AI media management)، عدم مالکیت کاربر یا عدم برخورداری او از مجوزهای لازم برای ویرایش یک شیء (Object) خاص را بررسی نمی‌کند.
جزئیات فنی و پیامدها:
- سطح دسترسی مورد نیاز: کاربران دارای نقش Editor یا بالاتر.
- نوع آسیب‌پذیری: عدم تأیید سطح دسترسی (Broken Access Control).
- اثرات حمله: مهاجم می‌تواند پست‌های دلخواه در سایت را، از جمله محتواهایی که مجاز به ویرایش آن‌ها نیست، تغییر داده یا نوع (Type) آن‌ها را عوض کند.
با توجه به حساسیت این موضوع، توصیه می‌شود مدیران سایت‌ها و متخصصان امنیت بلافاصله افزونه مذکور را به نسخه 3.7.9 یا بالاتر به‌روزرسانی کنند.
به‌روزرسانی (اکتبر 18, 2026 — ThreatCluster)
به‌روزرسانی: در بررسی‌های جدید، مشخص شده است که آسیب‌پذیری با شناسه CVE-2026-110976 در افزونه AI Engine وردپرس، فراتر از ویرایش پست‌ها عمل کرده و امکان حذف موارد حیاتی را فراهم می‌کند.
این نقص امنیتی به کاربران با سطح دسترسی Editor (ویرایشگر) و بالاتر اجازه می‌دهد تا پست‌های دلخواه و موارد زیر را به‌طور کامل حذف کنند:
- منوهای ناوبری (Navigation Menus)
- قالب‌های بلوک (Block Templates)
- استایل‌های سراسری (Global Styles)
این آسیب‌پذیری ناشی از عدم بررسی مالکیت آیتم‌ها پیش از تبدیل آن‌ها به Attachment (پیوست) و حذف دائمی است. به‌روزرسانی به نسخه 3.7.9 برای جلوگیری از تخریب ساختار سایت ضروری است.
