CVE-2025-66056

W wtyczce Uncanny Automator (Uncanny Owl) występuje podatność braku autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do 7.7.1.

Wtyczka Uncanny Automator dla WordPress do wersji 7.3.2 włącznie zawiera brak autoryzacji w kilku akcjach AJAX. Brakuje sprawdzenia uprawnień i weryfikacji nonce, co pozwala uwierzytelnionym atakującym z dostępem na poziomie Subskrybenta i wyższym na wyliczanie wrażliwych grup/kontaktów Google oraz segmentów, tagów i definicji pól kontaktowych Mautic.

Wtyczka Uncanny Automator – AI + Automation for WordPress | AI Agent, AI Page Builder, Free AI Usage Included dla WordPress jest podatna na wstrzyknięcie obiektu PHP we wszystkich wersjach do 7.6.1.1 włącznie, poprzez deserializację niezaufanych danych. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subscriber i wyższym wstrzyknięcie obiektu PHP, gdy zainstalowana jest wtyczka integracyjna innej firmy (takiej jak PeepSo, MailPoet, WPForms itp.) i skonfigurowany jest przepis, który przechowuje dane kontrolowane przez atakującego jako metadane wyzwalacza. Dodatkowa obecność łańcucha POP w Uncanny Automator pozwala atakującym na usuwanie dowolnych plików na serwerze.

Wtyczka Uncanny Automator w wersji 7.3.2 i starszych umożliwia administratorowi wstrzyknięcie SQL (SQL Injection). Administrator może wykonać dowolne zapytania SQL do bazy danych.

Wtyczka Uncanny Automator dla WordPressa w wersjach do 7.3.1.4 zawiera podatność na usuwanie dowolnych plików z powodu niewystarczającej walidacji ścieżki w funkcji fr_token. Niezautoryzowani atakujący mogą usunąć krytyczne pliki, takie jak wp-config.php, co może prowadzić do zdalnego wykonania kodu. Eksploatacja wymaga formularza Forminator połączonego z przepływem Uncanny Automator skonfigurowanym dla wszystkich użytkowników.