Luka PHP Object Injection w wtyczce AI Engine dla WordPress (CVE-2025-12844)

Co wiadomo

Wtyczka AI Engine dla WordPress do wersji 3.1.8 jest podatna na PHP Object Injection poprzez deserializację PHAR w funkcjach rest_simpleTranscribeAudio i rest_simpleVisionQuery. Luka umożliwia atakującym z uprawnieniami subskrybenta lub wyższymi wstrzyknięcie obiektu PHP, co może prowadzić do poważnych konsekwencji, jeśli na stronie zainstalowano dodatkowe wtyczki lub motywy zawierające łańcuch POP.

Wpływ biznesowy

Dla operatorów IT i właścicieli infrastruktury oznacza to ryzyko eskalacji ataku i potencjalnego wykonania złośliwego kodu, usunięcia plików lub wycieku danych, jeśli na stronie obecne są dodatkowe komponenty umożliwiające wykorzystanie luki. W przypadku braku takich komponentów ryzyko jest ograniczone, jednak nadal wymagana jest ostrożność i monitorowanie środowiska.

Rekomendowane działania administratora

Zaleca się przejrzenie i aktualizację wtyczki AI Engine do najnowszej wersji po jej wydaniu przez producenta. Do czasu dostępności poprawki warto ograniczyć uprawnienia użytkowników oraz przeanalizować zainstalowane wtyczki i motywy pod kątem obecności łańcuchów POP. Dodatkowo wskazane jest monitorowanie logów systemowych i aplikacyjnych oraz priorytetyzacja działań zabezpieczających.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference