CVE-2026-110732 Falta de autorización en AI Engine hasta 3.8.6 permite toma de control de administrador vía MCP OAuth
El módulo MCP de AI Engine, en versiones hasta la 3.8.6 inclusive, registra el endpoint de registro dinámico de clientes OAuth 2.1 con permission_callback __return_true, lo que permite a un atacante no autenticado registrar un cliente OAuth con URI de redirección propia. Tras la aprobación del administrador en la pantalla de consentimiento, el atacante obtiene un token MCP vinculado al administrador y control total a nivel de administrador mediante las herramientas MCP.
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,3 % · percentil 19
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
tigroumeow AI Engine – MCP Server & AI Chatbot for WordPress, with Claude, ChatGPT & Gemini
hasta 3.8.6
Qué hacer
- Verificá si usás AI Engine – MCP Server & AI Chatbot for WordPress, with Claude, ChatGPT & Gemini y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 7.5 ALTA
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H
- Vector de ataqueRed
- Complejidad del ataqueAlta
- Privilegios requeridosNinguno
- Interacción del usuarioRequerida
- AlcanceSin cambio
- ConfidencialidadAlta
- IntegridadAlta
- DisponibilidadAlta
Descripción original
The AI Engine – The Chatbot, AI Framework & MCP for WordPress plugin for WordPress is vulnerable to Missing Authorization in all versions up to, and including, 3.8.6 This is due to the MCP module's OAuth 2.1 Dynamic Client Registration endpoint (/wp-json/mcp/v1/oauth/register) being registered with a permission_callback of __return_true, allowing an unauthenticated user to register an active OAuth client with an attacker-controlled redirect URI. This makes it possible for unauthenticated attackers to obtain an administrator-bound MCP access token, and thereby full administrator-level control through the MCP tools (including user creation and option updates), once an administrator approves the attacker's client on the OAuth consent screen. The consent page is additionally served without X-Frame-Options or Content-Security-Policy frame-ancestors, so that approval can be obtained via clickjacking.
Referencias (8)
- www.wordfence.com/threat-intel/vulnerabilities/id/eb115a8a-35f8-426f-bb67-4a523f67cb34?so…
- plugins.trac.wordpress.org/browser/ai-engine/tags/3.8.3/labs/mcp-oauth.php#L1159
- plugins.trac.wordpress.org/browser/ai-engine/tags/3.8.3/labs/mcp-oauth.php#L496
- plugins.trac.wordpress.org/browser/ai-engine/tags/3.8.3/labs/mcp-oauth.php#L317
- plugins.trac.wordpress.org/browser/ai-engine/tags/3.8.3/labs/mcp-oauth.php#L609
- plugins.trac.wordpress.org/browser/ai-engine/tags/3.8.3/labs/mcp.php#L232
- plugins.trac.wordpress.org/changeset?reponame=&new=3760852%40ai-engine%2Ftags%2F3.8.7&old…
- plugins.trac.wordpress.org/changeset/3760851/ai-engine/trunk/labs/mcp-oauth.php
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.