CVE-2025-12844 in AI Engine Plugin
Tóm tắt
Bởi VulDB • 30/07/2026
Plugin AI Engine cho WordPress dễ bị tấn công PHP Object Injection thông qua PHAR Deserialization trong tất cả các phiên bản từ đầu đến 3.1.8 (bao gồm cả 3.1.8) do quá trình giải mã hóa dữ liệu không đáng tin cậy trong hàm 'rest_simpleTranscribeAudio' và 'rest_simpleVisionQuery'. Điều này cho phép những kẻ tấn công đã xác thực, có quyền truy cập cấp Subscriber trở lên, chèn một đối tượng PHP vào hệ thống. Không có POP chain nào được biết đến tồn tại trong phần mềm dễ bị tổn thương này, nghĩa là lỗ hổng này không gây ra tác động trừ khi có plugin hoặc theme khác chứa POP chain được cài đặt trên trang web. Nếu POP chain hiện diện thông qua plugin hoặc theme bổ sung được cài đặt trên hệ thống mục tiêu, nó có thể cho phép kẻ tấn công thực hiện các hành động như xóa tệp tùy ý, lấy dữ liệu nhạy cảm hoặc thực thi mã phụ thuộc vào POP chain cụ thể đang tồn tại.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.