CVE-2025-10902
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Wtyczka Originality.ai AI Checker dla WordPressa jest podatna na nieautoryzowaną utratę danych z powodu braku sprawdzenia uprawnień w funkcji 'ai_scan_result_remove' we wszystkich wersjach do 1.0.15 włącznie. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta (Subscriber) i wyższym mogą usunąć wszystkie dane z tabeli bazy danych wp_originalityai_log, w tym tytuły postów, wyniki skanów, zużyte kredyty i inne dane.
Ocena ryzyka
Ryzyko polega na możliwości całkowitego usunięcia ważnych danych historycznych dotyczących skanów, co prowadzi do utraty informacji i może wpłynąć na audyt i monetyzację usługi.
Rekomendacja
Zalecane jest zaktualizowanie wtyczki do wersji, w której naprawiono brak sprawdzania uprawnień, oraz ograniczenie uprawnień kont użytkowników.
Inne podatności w Originality.ai AI Checker
Oryginalny opis (angielski, źródło NVD)
The Originality.ai AI Checker plugin for WordPress is vulnerable to unauthorized loss of data due to a missing capability check on the 'ai_scan_result_remove' function in all versions up to, and including, 1.0.15. This makes it possible for authenticated attackers, with Subscriber-level access and above, to delete all data in the wp_originalityai_log database table, which can include post titles, scan scores, credits used, and other data.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS