AI引擎WordPress插件漏洞影响了多达100,000个网站，是今年发现的第五个漏洞。
为AI Engine WordPress插件发布了安全咨询，该插件安装在本月的第四个网站上。该漏洞评定为8.8，在启用REST API时，仅具有订户级身份验证的攻击者可以上传恶意文件。
AI引擎插件：2025年的第五漏洞
这是7月在AI引擎插件中发现的第四个漏洞，此前6月发现的第一年中的第一个漏洞是在2025年到目前为止在该插件中发现的五个漏洞。2024年发现了九个漏洞，其中一个漏洞在2024年发现了9.8的漏洞，其中一个漏洞是9.8的，因为它启用了无授权的攻击者的次要攻击者，并促进了上载的不正确的5次，另外还列入了9.8，另外又有了9.1。
身份验证（订户+）任意文件上传
最新的漏洞可实现身份验证的文件上传。使这种利用更加危险的原因是，它仅需要攻击者利用安全弱点来利用订户级的身份验证。这不像不需要身份验证的漏洞那样糟糕，但仍以1到10的范围评级为8.8。
WordFence将漏洞描述为由于在版本2.9.3和2.9.4中与REST API相关的函数中缺少文件类型验证所致。
文件类型验证是一种安全措施，通常在WordPress中使用，以确保文件的内容匹配被上传到网站的文件类型。
根据Wordfence：
这使得经过验证的攻击者（具有订户级别访问及更高版本）在启用REST API时将任意文件上传到上传任意文件，这可能使远程代码执行成为可能。
建议将其插件更新为最新版本，2.9.5或更新版本。
插件ChangElog对于2.9.5版，已更新的内容：
修复：通过验证音频转录和对REST API参数进行验证的URL方案来解决与SSRF有关的安全问题，以防止API密钥滥用。
修复：纠正了一个关键的安全漏洞，该漏洞通过添加严格的文件类型验证以防止PHP执行，允许未经授权的文件上传。
Shutterstock/Jiri Hera的特色图像