CVE-2026-8719WordPress插件AI Engine在3.4.9版本中存在严重的权限提升漏洞。该漏洞由于MCP OAuth bearer-token授权路径未强制执行WordPress能力检查，导致任何有效的OAuth令牌即可授予MCP访问权限，而无需验证用户是否为管理员。已认证的攻击者（包括订阅者级别）可利用此漏洞调用管理员级别的MCP工具，进而将账户权限提升至管理员，完全控制网站。
该漏洞的核心问题在于插件对MCP（Model Context Protocol）接口的权限验证逻辑存在缺陷。在处理OAuth bearer-token认证请求时，后端代码仅验证了Token的有效性（即Token是否合法且未过期），但遗漏了对当前用户角色或特定WordPress能力（如`manage_options`）的检查。由于OAuth Token可能由低权限用户（如Subscriber）生成，攻击者可利用该Token直接构造请求访问受保护的MCP管理员端点。利用该漏洞，攻击者可以执行原本仅限管理员操作的敏感函数，例如创建新管理员账户、修改系统配置或执行恶意代码，从而实现从低权限账户到系统最高权限的垂直越权。