https://www.informationsecurity.com.tw/seminar/2024_OT/
https://www.informationsecurity.com.tw/seminar/2024_OT/

新聞

AI Engine 外掛程式存在漏洞! 5萬個 WordPress 網站可能遭受遠端攻擊

2024 / 01 / 11
編輯部
AI Engine 外掛程式存在漏洞! 5萬個 WordPress 網站可能遭受遠端攻擊
WordPress 的 AI Engine 外掛程式中發現了一個嚴重漏洞,特別影響該程式的免費版本使用者。預計超過 50,000 個網站使用AI Engine 外掛程式。 

AI Engine 外掛程式因其多樣化的人工智慧相關功能而受到歡迎,允許用戶建立聊天機器人、管理內容並利用各種AI工具,如翻譯、搜尋引擎優化等。 

根據 Patchstack 公司發布的公告,此漏洞編號為CVE-2023-51409。涉及的安全缺陷是 files.php 模組中外掛程式的 rest_upload 函數中未經身份驗證的任意檔案上傳漏洞。

該漏洞允許任何未經身份驗證的用戶上傳任意檔案,如潛在的惡意 PHP 檔,這可能導致在受影響的系統遠端執行程式碼。 

值得注意的是,相關REST API端點的permission_callback參數設定為__return_true,允許任何未經身份驗證的使用者觸發易受攻擊的函數。程式碼中缺乏正確的文件類型和副檔名驗證,允許上傳任意檔,從而構成重大安全風險。

為了緩解此漏洞,AI Engine 外掛程式的開發團隊在 1.9.99 版本中導入修補程式。此修補程式對自訂 REST API 端點實作權限檢查,並使用 wp_check_filetype_and_ext 函數合併檔案類型和副檔名檢查。

強烈建議用戶將其 AI Engine 外掛程式更新到至少 1.9.99 版本,以確保他們的系統免受潛在的利用。

Patchstack建議用戶永遠檢查外掛程式或主題程式碼中 $_FILES 參數的每個程序。在上傳檔案之前,務必檢查檔案名稱和副檔名。另外,特別注意自訂 REST API 端點的權限檢查。

本文轉載自infosecurity-magazine.com。


 

2024資安365年會:AI-資安新革命
面對AI的新世界,如何打造資安防護網?對於資安而言,AI將帶來前所未有的挑戰,但同時也將衍生前所未有的機會。資安人媒體將在2024年2月22日於富邦國際會議中心B2舉辦年度「資安365」年會,與我們一起關心即將到來的AI資安世界。點我看活動資訊!