CVE-2023-5241
KrytyczneStreszczenie
Wtyczka AI ChatBot dla WordPress w wersjach do 4.8.9 oraz 4.9.2 zawiera podatność na przemieszczanie się po katalogach (Directory Traversal) w funkcji qcld_openai_upload_pagetraining_file. Umożliwia ona atakującym z poziomem subskrybenta dodanie kodu "<?php" do dowolnego istniejącego pliku na serwerze, co może prowadzić do odmowy usługi (DoS) w przypadku modyfikacji krytycznych plików, takich jak wp-config.php.
Ocena ryzyka
Ryzyko polega na możliwości spowodowania niedostępności strony poprzez uszkodzenie kluczowych plików konfiguracyjnych, co wymaga ręcznej interwencji administratora w celu przywrócenia działania.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki AI ChatBot do najnowszej dostępnej wersji, która usuwa tę podatność. Należy również ograniczyć uprawnienia użytkowników o roli subskrybenta.
Oryginalny opis (angielski, źródło NVD)
The AI ChatBot for WordPress is vulnerable to Directory Traversal in versions up to, and including, 4.8.9 as well as 4.9.2 via the qcld_openai_upload_pagetraining_file function. This allows subscriber-level attackers to append "<?php" to any existing file on the server resulting in potential DoS when appended to critical files such as wp-config.php.