AI Engine 插件 3.8.6 及以下版本的 MCP 模块把 OAuth 客户端注册接口开给了所有人，攻击者能拿到绑定管理员身份的 MCP 令牌，CVSS 7.5。
10 月 30 日公开的 CVE-2026-110732 影响 AI Engine（The Chatbot, AI Framework & MCP for WordPress）3.8.6 及更早版本：插件把 MCP 模块的 OAuth 动态客户端注册接口开放给了未登录访客，攻击者可以借此拿到一条绑定管理员身份的 MCP 访问令牌，CVSS 评分 7.5。
配图：ZKUI 编辑部
漏洞是三件事叠出来的
第一处出在注册接口。/wp-json/mcp/v1/oauth/register 这个路由的 permission_callback 直接写成了 __return_true，等于告诉 WordPress「这个接口谁都能调」。访客不需要账号，就能注册一个 OAuth 客户端，并且把回调地址填成自己的服务器。
第二处在授权环节。管理员在后台看到的那个「是否允许该应用访问」的确认页，没有设置 X-Frame-Options，也没有 CSP 的 frame-ancestors。攻击者把它套进一个透明 iframe，诱导已登录的管理员点一下，授权就完成了——典型点击劫持。
第三处才是真正的放大器：MCP 令牌继承的是授权者的权限。管理员一点头，这个令牌就能调用插件的全部 MCP 工具，包括建用户、改站点选项。前面两步只是敲门，最后这一步是直接拿钥匙进机房。
怎么判断自己的站有没有被动过
先看版本：插件设置页或插件列表里，AI Engine 小于等于 3.8.6 的都在影响范围。再看三处痕迹：后台用户列表里有没有你不认识的、注册时间很新的管理员；「应用密码」和 OAuth 授权列表里有没有陌生客户端，特别是回调地址指向陌生域名的；服务器访问日志里有没有密集的 /wp-json/mcp/v1/oauth/register 请求。有其中任意一条，就按「已被入侵」处理，而不是按「可能受影响」处理。
处置顺序
- 先升级插件到修复版本。如果暂时没有可用的修复版，直接停用 MCP 模块或整个插件，别只关掉 AI 聊天窗口。
- 撤销所有可疑的 OAuth 授权与应用密码，强制所有管理员重新登录，改一遍管理员密码。
- 翻一遍最近两周的插件安装记录、定时任务和 mu-plugins 目录，攻击者拿到管理员权限后第一件事通常不是删站，是埋后门。
这件事真正值得记住的地方
过去几年 WordPress 的漏洞大多出在「上传」「反序列化」「SQL 拼接」这些老地方，这次不一样：出问题的是「给 AI 用的那个接口」。MCP 的设计前提是「让 AI 代替人操作站点」，所以它天然需要一个权限很高的令牌，也天然需要一套能验证「是谁在请求」的机制。一旦这套机制里有一环默认放行，漏洞的后果就不再是「泄露几条数据」，而是「整个后台归别人」。
给站点接 AI 之前，先回答一个问题：这个令牌能做什么、能撤销吗、有没有操作日志。答不上来的插件，先别装。
本文根据公开报道整理，主要参考：HOL 安全公告、Wordfence 漏洞库（2026-10-30）。
