Luka SSRF w wtyczce AI Engine dla WordPress (CVE-2025-8084)

Co wiadomo

Wtyczka AI Engine dla WordPress do wersji 3.1.8 zawiera lukę Server-Side Request Forgery (SSRF) w funkcji rest_helpers_create_images. Umożliwia to atakującym z uprawnieniami edytora lub wyższymi wykonywanie żądań sieciowych do dowolnych lokalizacji z poziomu aplikacji webowej.

Wpływ biznesowy

Atakujący z dostępem na poziomie edytora mogą wykorzystać tę lukę do uzyskania dostępu do wewnętrznych usług oraz modyfikacji informacji, co może prowadzić do wycieku danych lub naruszenia integralności systemu. W środowiskach chmurowych luka umożliwia także pobieranie metadanych, co zwiększa ryzyko eskalacji ataku i utraty kontroli nad infrastrukturą.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki AI Engine i ich wdrożenie. W przypadku braku łatki, ogranicz uprawnienia użytkowników do niezbędnego minimum, monitoruj logi pod kątem podejrzanych żądań oraz ogranicz dostęp do wewnętrznych usług. Priorytetyzuj działania zabezpieczające w środowiskach chmurowych, gdzie ryzyko jest podwyższone.

Źródła

• NVD
• Reference
• Reference
• Reference