CVE-2025-0428: podatność PHP Object Injection w wtyczce AI Power dla WordPress

Co wiadomo

Wtyczka AI Power: Complete AI Pack dla WordPress do wersji 1.8.96 jest podatna na PHP Object Injection poprzez deserializację niezaufanych danych w funkcji wpaicg_export_prompts. Atakujący z uprawnieniami administratora mogą wstrzyknąć obiekt PHP, co w połączeniu z innymi wtyczkami lub motywami może prowadzić do usunięcia plików, wykradzenia danych lub wykonania złośliwego kodu.

Wpływ biznesowy

Podatność ta stanowi poważne zagrożenie dla bezpieczeństwa serwisów WordPress korzystających z tej wtyczki, zwłaszcza gdy atakujący posiadają uprawnienia administratora. Może to skutkować utratą danych, naruszeniem integralności systemu oraz potencjalnym przejęciem kontroli nad infrastrukturą. Operatorzy powinni traktować tę lukę jako wysokiego ryzyka i odpowiednio ją adresować.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki AI Power u jej dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników administracyjnych, monitorować logi pod kątem podejrzanych działań oraz rozważyć audyt zainstalowanych wtyczek i motywów pod kątem łańcuchów POP, które mogłyby zostać wykorzystane do eskalacji ataku.

Źródła

• NVD
• Reference
• Reference