Un difetto nel plugin AI espone 50.000 siti WordPress ad attacchi remoti

È stata identificata una vulnerabilità critica nel plugin AI Engine per WordPress, che colpisce in particolare la sua versione gratuita con oltre 50.000 installazioni attive.

Il plugin è ampiamente riconosciuto per le sue diverse funzionalità legate all'intelligenza artificiale, che consentono agli utenti di creare chatbot, gestire contenuti e utilizzare vari strumenti di intelligenza artificiale come traduzione, SEO e altro ancora.

Secondo un avviso pubblicato oggi da Patchstack, la falla di sicurezza in questione è una vulnerabilità di caricamento di file arbitrari non autenticati nella funzione rest_upload del plugin all'interno del modulo files.php.

La vulnerabilità consente a qualsiasi utente non autenticato di caricare file arbitrari, inclusi file PHP potenzialmente dannosi, che potrebbero portare all'esecuzione di codice remoto sul sistema interessato.

In particolare, il parametro permesso_callback dell'endpoint API REST pertinente è impostato su __return_true, consentendo a qualsiasi utente non autenticato di attivare la funzione vulnerabile. La mancanza di una corretta convalida del tipo di file e dell'estensione nel codice consente il caricamento di file arbitrari, ponendo un rischio significativo per la sicurezza.

Maggiori informazioni sulla sicurezza di WordPress: Migrazione del backup Il difetto del plug-in WordPress ha un impatto su 90.000 siti

Per mitigare questa vulnerabilità, il team di sviluppo del plugin ha introdotto una patch nella versione 1.9.99. La patch implementa un controllo delle autorizzazioni sull'endpoint API REST personalizzato e incorpora controlli del tipo di file e dell'estensione utilizzando la funzione wp_check_filetype_and_ext.

Alla luce di questi risultati, si consiglia vivamente agli utenti di aggiornare il plug-in AI Engine almeno alla versione 1.9.99 per garantire che i propri sistemi siano protetti da potenziali sfruttamenti. L'identificatore CVE-2023-51409 è stato assegnato per tenere traccia del problema.

“Controlla sempre ogni processo dei parametri $_FILES nel plugin o nel codice del tema”, si legge nel Avviso patchstack. “Assicurati di applicare un controllo sul nome del file e sull'estensione prima di caricare il file. Inoltre, presta particolare attenzione ai controlli delle autorizzazioni sugli endpoint API REST personalizzati.