概述

CVE-2025-12844是一个影响WordPress AI Engine插件的高危漏洞，CVSS评分为7.1分。该漏洞存在于3.1.8及以下版本中，允许经过认证的攻击者（订阅者权限及以上）通过PHAR反序列化实现PHP对象注入。

漏洞详情

漏洞描述

WordPress AI Engine插件在所有3.1.8及以下版本中存在PHP对象注入漏洞，攻击者可通过rest_simpleTranscribeAudio和rest_simpleVisionQuery函数中的不可信输入反序列化实现攻击。该漏洞需要订阅者级别及以上权限才能利用。

影响分析

当前受影响的软件中不存在已知的POP链，这意味着除非网站上安装了包含POP链的其他插件或主题，否则此漏洞没有直接影响。如果目标系统上通过其他插件或主题存在POP链，攻击者可能能够执行删除任意文件、检索敏感数据或执行代码等操作。

技术细节

CVSS评分

• 评分: 7.1（高危）
• 版本: CVSS 3.1
• 攻击向量: 网络
• 攻击复杂度: 高
• 所需权限: 低
• 用户交互: 需要
• 影响范围: 未更改
• 机密性影响: 高
• 完整性影响: 高
• 可用性影响: 高

关联弱点

• CWE-502: 不可信数据反序列化
• CAPEC-586: 对象注入

解决方案

修复措施

1. 将AI Engine插件更新至最新版本（3.1.9）
2. 移除包含POP链的任何插件
3. 对所有用户提供的输入进行清理
4. 避免反序列化不可信数据

时间线

• 发布日期: 2025年11月13日
• 最后修改: 2025年11月13日
• 远程利用: 是
• 信息来源: security@wordfence.com

参考资源

代码链接

• https://github.com/jordymeow/ai-engine/blob/main/classes/api.php#L799
• https://github.com/jordymeow/ai-engine/blob/main/classes/engines/chatml.php#L960-L967
• https://github.com/jordymeow/ai-engine/blob/main/classes/modules/files.php#L237
• https://github.com/jordymeow/ai-engine/blob/main/classes/services/image.php#L43

其他参考

• https://plugins.trac.wordpress.org/changeset/3392052/
• https://www.wordfence.com/threat-intel/vulnerabilities/id/c39c1b72-e3e0-44fb-8fb8-602cb0aa61e3?source=cve

受影响产品

目前尚未记录受影响的具体产品版本信息。

总计受影响供应商: 0 | 产品数量: 0