CVE-2026-111041 Modificación arbitraria de entradas en AI Engine por falta de verificación de permisos

Qué es CVE-2026-111041

El plugin AI Engine de WordPress antes de 3.7.9 no verifica que el usuario que realiza ciertas acciones de gestión de medios con IA sea propietario del objeto o esté autorizado a editarlo. Esto permite a usuarios con rol Editor o superior modificar o cambiar el tipo de entradas arbitrarias del sitio, incluido contenido que no tienen permitido editar.

Productos y versiones afectadas

• AI Engine

  • hasta antes de 3.7.9

Qué hacer

1. Verificá si usás AI Engine y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 4.9 MEDIA

CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:H/A:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Altos

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Ninguna

INTEGRIDAD (I)

Alta

DISPONIBILIDAD (A)

Ninguna

Abrir la calculadora completa →

Descripción original

The AI Engine WordPress plugin before 3.7.9 does not verify that the user performing certain AI media management actions owns or is otherwise allowed to edit the targeted object, allowing users with the Editor role or above to modify, or change the type of, arbitrary posts on the site, including content they are not permitted to edit.

Referencias

• wpscan.com/vulnerability/829fef5b-915c-4762-a90d-47a08d78266b/EXPLOIT · VDB-ENTRY · TECHNICAL-DESCRIPTION

Historial de la alerta

1. 18 OCT · 05:39VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.