CVE-2025-7847
AI इंजन 2.9.3 - 2.9.4 - प्रमाणित (सब्सक्राइबर+) मनमाना फ़ाइल अपलोड
- प्रकाशित
- 31 जुल॰ 2025
- अद्यतन
- 31 जुल॰ 2025
- सीएनए असाइन करना
- Wordfence
- साक्ष्य देखे गए
- 11 अग॰ 2026
प्राथमिक सीवीएसएस
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:Hकम · अगले 30 दिन
- प्रतिशत
- 64.0%
- मॉडल दिनांक
- 21 सित॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
WordPress के लिए AI Engine प्लगइन, संस्करण 2.9.3 और 2.9.4 में rest_simpleFileUpload() फ़ंक्शन में फ़ाइल प्रकार सत्यापन की कमी के कारण मनमानी फ़ाइल अपलोड के प्रति संवेदनशील है। यह प्रमाणित हमलावरों के लिए, Subscriber-स्तर की पहुंच और उससे ऊपर के साथ, REST API सक्षम होने पर प्रभावित साइट के सर्वर पर मनमानी फ़ाइलें अपलोड करना संभव बनाता है, जिससे रिमोट कोड निष्पादन संभव हो सकता है।
स्रोत
1- CVE-2025-7847-POCएक्सप्लॉइट
Wordpress Plugin AI Engine 2.9.3 - 2.9.4 अवधारणा का प्रमाण
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।