- Son 7 gün
- CWE-22
CVE-2026-107745
AI Engine WordPress eklentisi: Yetkili kullanıcılı sınırlı medya dosyası silme açığı
tigroumeow AI Engine – MCP Server & AI Chatbot for WordPress, with Claude, ChatGPT & Gemini
- Yayımlandı
- Güncellendi
- 28 Eki 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- Wordfence
Yönetici özeti
Bu açık, sitenizdeki görsel ve dosyaların kötü niyetli kişilerce silinmesine yol açabilir. Saldırının belirli koşulları gerektirdiği için risk orta düzeydedir, ancak eklenti kullanan siteler için kısa sürede güncelleme yapılması önerilir.
ÖzetTürkçe
AI Engine eklentisinin 3.8.4 ve daha eski sürümlerinde, upload_file fonksiyonundaki yetersiz dosya yolu doğrulaması nedeniyle sınırlı bir medya dosyası silme açığı bulunmaktadır. Açık, en düşük Subscriber seviyesindeki kimliği doğrulanmış kullanıcılar tarafından istismar edilebilir. Saldırının çalışması için yöneticinin Public API seçeneğini etkinleştirmiş olması ve saatlik çalışan temizleme görevinin kötü amaçlı yüklemeden sonra tetiklenmesi gerekir.
Saldırgan ne yapabilir?
Saldırgan, sunucudaki rastgele medya dosyalarını silebilir. Bu, içerik kaybına ve site bütünlüğünün bozulmasına yol açabilir; gizlilik ihlali ya da sistem ele geçirme doğrudan beklenmez.
Kaynaktaki açıklama (İngilizce)
The AI Engine – The Chatbot, AI Framework & MCP for WordPress plugin for WordPress is vulnerable to limited media file deletion due to insufficient file path validation in the upload_file function in all versions up to, and including, 3.8.4 This makes it possible for authenticated attackers, with subscriber-level access and above, to delete arbitrary media files on the server. This requires the administrator to have enabled the Public API option, and exploitation depends on the hourly cleanup_files task running after the malicious upload.
Ne yapmalı?
- AI Engine eklentisini 3.8.4 sürümünden daha yeni bir sürüme güncelleyin. Güncelleme için satıcının sağladığı sürüm bilgisi, bu veri setinde belirtilmemiştir; eklenti yönetim ekranından mevcut en son sürümü kontrol edin. Genel öneri
- Güncelleme yapılana kadar, eklentinin Public API seçeneğini devre dışı bırakın. Genel öneri
- Subscriber gibi düşük yetkili kullanıcı hesaplarını gözden geçirin ve gereksiz hesapları kaldırın. Genel öneri
Ek önlemler
- Medya kütüphanesindeki beklenmeyen silinmeleri ve sunucudaki olağandışı dosya işlemlerini düzenli olarak izleyin. Genel öneri
- Düzenli yedekleme alarak medya dosyalarının kaybı durumunda hızlı geri dönüş sağlayın. Genel öneri
- Eklentileri ve WordPress çekirdeğini düzenli olarak güncel tutun. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| tigroumeow AI Engine – MCP Server & AI Chatbot for WordPress, with Claude, ChatGPT & Gemini | ≤ 3.8.4 | – |
Kaynaklar9 kaynak
- CVE.org kaydı
- NVD kaydı
- wordfence.com/…lities/id/d4f8607c-711e-4d0e-8379-49346033a837 Diğer
- plugins.trac.wordpress.org/…ai-engine/tags/3.8.3/classes/modules/files.php Diğer
- plugins.trac.wordpress.org/…ai-engine/tags/3.8.3/classes/modules/files.php Diğer
- plugins.trac.wordpress.org/…ai-engine/tags/3.8.3/classes/modules/files.php Diğer
- plugins.trac.wordpress.org/browser/ai-engine/tags/3.8.3/classes/api.php Diğer
- plugins.trac.wordpress.org/browser/ai-engine/tags/3.8.3/classes/api.php Diğer
- plugins.trac.wordpress.org/changeset Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.