CVE-2025-10705

ŚrednieCVSS 5.3

Opublikowano: 23/10/2025(UTC)Zaktualizowano: 08/10/2026(UTC)Przetłumaczono: 08/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.30%

Percentyl 20 - wyżej niż 20% wszystkich znanych CVE

Streszczenie

Wtyczka MxChat – AI Chatbot for WordPress w wersjach do 2.4.6 włącznie jest podatna na ślepą podatność Server-Side Request Forgery (SSRF) z powodu niewystarczającej walidacji adresów URL dostarczanych przez użytkownika w funkcji przetwarzania PDF. Nieuwierzytelniony atakujący może zmusić serwer WordPress do wykonania żądań HTTP do dowolnych miejsc docelowych poprzez akcję AJAX 'mxchat_handle_chat_request'.

Ocena ryzyka

Atakujący może wykorzystać serwer do skanowania wewnętrznej sieci, uzyskiwania dostępu do usług wewnętrznych lub przeprowadzania ataków na inne systemy, co może prowadzić do naruszenia bezpieczeństwa infrastruktury.

Rekomendacja

Zaktualizuj wtyczkę MxChat do wersji nowszej niż 2.4.6, która naprawia tę podatność. Rozważ ograniczenie możliwości wykonywania żądań HTTP przez serwer do zaufanych domen.

Inne podatności w MxChat

CVE-2026-13005Średnie
Wtyczka MxChat – AI Chatbot & Content Generation dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez ustawienia administratora we wszystkich wersjach do 3.2.10 włącznie. Podatność wynika z niedostatecznego oczyszczania danych wejściowych i braku odpowiedniego kodowania wyjścia.

Oryginalny opis (angielski, źródło NVD)

The MxChat – AI Chatbot for WordPress plugin for WordPress is vulnerable to Blind Server-Side Request Forgery in all versions up to, and including, 2.4.6. This is due to insufficient validation of user-supplied URLs in the PDF processing functionality. This makes it possible for unauthenticated attackers to make the WordPress server perform HTTP requests to arbitrary destinations via the mxchat_handle_chat_request AJAX action.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS