CVE-2026-9810

9.8 Critique

Publiée le 17/07/2026 à 09:16 · Modifiée le 17/07/2026 à 17:44 · Analyse NVD reportée · Source : contact@wpscan.com

Description

The AI Copilot WordPress plugin before 1.5.4 does not bind OAuth access tokens to a WordPress user, and accepts any valid token as an administrator session, allowing unauthenticated attackers who complete the public OAuth flow to execute privileged MCP tools as an administrator, including arbitrary user creation and role escalation.

Traduire en français

Produits concernés

Unknown AI Copilot

Scores CVSS

Version	Score	Source	Vecteur
3.1	9.8 Critique	134c704f-9b21-4f2e-91b3-4a467353bcc0	`CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`

Faiblesses (CWE)

CWE-269

Références

https://wpscan.com/vulnerability/6378a370-fe2f-48e7-984f-6e6c575dba60/

Ailleurs

NVD
CVE.org
CIRCL Vulnerability-Lookup
CERT-FR
GitHub Advisories