CVE-2025-13378

ŚrednieCVSS 6.5

Opublikowano: 27/11/2025(UTC)Zaktualizowano: 19/10/2026(UTC)Przetłumaczono: 19/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.29%

Percentyl 20 - wyżej niż 20% wszystkich znanych CVE

Streszczenie

Wtyczka AI ChatBot with ChatGPT and Content Generator by AYS dla WordPressa w wersjach do 2.7.0 włącznie jest podatna na Server-Side Request Forgery poprzez funkcję ays_chatgpt_pinecone_upsert. Umożliwia to nieuwierzytelnionym atakującym wysyłanie żądań sieciowych do dowolnych lokalizacji z serwera aplikacji oraz odpytywanie i modyfikowanie informacji z usług wewnętrznych.

Ocena ryzyka

Nieuwierzytelniony atakujący może wykorzystać serwer WordPress do skanowania sieci wewnętrznej i interakcji z usługami wewnętrznymi, co może prowadzić do ujawnienia lub modyfikacji danych. Ryzyko jest wysokie w środowiskach z dostępem do wewnętrznych API.

Rekomendacja

Zaktualizuj wtyczkę do wersji nowszej niż 2.7.0, jeśli jest dostępna, lub ją wyłącz. Ogranicz wychodzące połączenia sieciowe z serwera WordPress i segmentuj sieć.

Inne podatności w AI ChatBot with ChatGPT and Content Generator by AYS

CVE-2025-13381Średnie
Wtyczka AI ChatBot with ChatGPT and Content Generator by AYS dla WordPressa w wersjach do 2.7.0 zawiera podatność braku autoryzacji z powodu braku sprawdzenia uprawnień w funkcji 'ays_chatgpt_save_wp_media'. Umożliwia to nieuwierzytelnionym atakującym przesyłanie plików multimedialnych.

Oryginalny opis (angielski, źródło NVD)

The AI ChatBot with ChatGPT and Content Generator by AYS plugin for WordPress is vulnerable to Server-Side Request Forgery in all versions up to, and including, 2.7.0 via the ays_chatgpt_pinecone_upsert function. This makes it possible for unauthenticated attackers to make web requests to arbitrary locations originating from the web application and can be used to query and modify information from internal services.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS