CVE-2025-13922: SQL Injection w wtyczce AI Autotagger dla WordPress

Co wiadomo

Wtyczka Tag, Category, and Taxonomy Manager – AI Autotagger z OpenAI dla WordPress jest podatna na czasową ślepą SQL Injection poprzez parametr 'existing_terms_orderby' w endpointzie AI preview AJAX we wszystkich wersjach do 3.40.1 włącznie. Atakujący z uprawnieniami Contributor i dostępem do metabox AI mogą wstrzykiwać dodatkowe zapytania SQL, co umożliwia wyciek danych lub obniżenie wydajności.

Wpływ biznesowy

Podatność pozwala na wyciąganie wrażliwych informacji z bazy danych oraz może powodować spowolnienie działania serwisu, co wpływa na stabilność i bezpieczeństwo infrastruktury IT. Organizacje korzystające z tej wtyczki powinny traktować tę lukę jako istotne zagrożenie, zwłaszcza w środowiskach z wieloma użytkownikami o podwyższonych uprawnieniach.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć dostęp do metabox AI tylko do zaufanych użytkowników, monitorować logi pod kątem podejrzanych zapytań SQL oraz rozważyć ograniczenie parametrów wejściowych. Priorytetowo należy ocenić ryzyko i wdrożyć odpowiednie środki zabezpieczające.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference