CVE-2026-6639

AI Chatbot & Workflow Automation من AIWU، الإصدارات الأقدم من 1.4.7

توجد مشكلة تتمثل في إمكانية الوصول إلى الدالة getCurrentTaskResults() الموجودة في ملف modules/workspace/controller.php دون مصادقة أو تفويض. يحدث هذا لأن الدالة غير موجودة في المصفوفة getNoncedMethods()، ولأن الدالة getPermissions() تُرجع مصفوفة فارغة، ولأن إجراءات AJAX يتم تسجيلها باستخدام خطافات wp ajax nopriv . يمكن للمهاجمين غير المصادق عليهم تعداد معرّفات المهام المتسلسلة لاسترداد البيانات الحساسة من استجابة JSON، بما في ذلك مفاتيح واجهة برمجة تطبيقات OpenAI النصية العادية، ومطالبات الذكاء الاصطناعي، والكلمات المفتاحية، وتكوينات نماذج الذكاء الاصطناعي الكاملة المخزنة في قاعدة البيانات.

قم بتحديث «AI Chatbot & Workflow Automation» من AIWU إلى إصدار أحدث من 1.4.6.

كإجراء تخفيفي مؤقت، قم بتقييد الوصول إلى الدالة getCurrentTaskResults() في ملف modules/workspace/controller.php على المستخدمين المصرح لهم فقط.