CVE-2025-12844 in AI Engine Plugin
Résumé
par VulDB • 15/07/2026
Le plugin AI Engine pour WordPress est vulnérable à une injection d'objets PHP via la désérialisation PHAR dans toutes les versions jusqu'à et y compris la 3.1.8, en raison de la désérialisation d'une entrée non fiable dans les fonctions 'rest_simpleTranscribeAudio' et 'rest_simpleVisionQuery'. Cela permet aux attaquants authentifiés disposant d'un accès au niveau « Abonné » (Subscriber) ou supérieur d'injecter un objet PHP. Aucune chaîne POP (POP chain) n'est présente dans le logiciel vulnérable, ce qui signifie que cette vulnérabilité n'a aucun impact à moins qu'un autre plugin ou thème contenant une chaîne POP ne soit installé sur le site. Si une chaîne POP est présente via un plugin ou un thème supplémentaire installé sur le système cible, cela pourrait permettre à l'attaquant d'exécuter des actions telles que la suppression de fichiers arbitraires, la récupération de données sensibles ou l'exécution de code, en fonction de la chaîne POP présente.
If you want to get best quality of vulnerability data, you may have to visit VulDB.