CVE-2025-13381

ŚrednieCVSS 5.3

Opublikowano: 27/11/2025(UTC)Zaktualizowano: 19/10/2026(UTC)Przetłumaczono: 19/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.28%

Percentyl 20 - wyżej niż 20% wszystkich znanych CVE

Streszczenie

Wtyczka AI ChatBot with ChatGPT and Content Generator by AYS dla WordPressa w wersjach do 2.7.0 zawiera podatność braku autoryzacji z powodu braku sprawdzenia uprawnień w funkcji 'ays_chatgpt_save_wp_media'. Umożliwia to nieuwierzytelnionym atakującym przesyłanie plików multimedialnych.

Ocena ryzyka

Nieuwierzytelniony atakujący może przesłać dowolne pliki multimedialne na serwer, co może prowadzić do zajęcia miejsca, rozprzestrzeniania złośliwych treści lub innych ataków.

Rekomendacja

Zaktualizuj wtyczkę do wersji zawierającej poprawkę lub ogranicz dostęp do funkcji 'ays_chatgpt_save_wp_media'.

Inne podatności w AI ChatBot with ChatGPT and Content Generator by AYS

CVE-2025-13378Średnie
Wtyczka AI ChatBot with ChatGPT and Content Generator by AYS dla WordPressa w wersjach do 2.7.0 włącznie jest podatna na Server-Side Request Forgery poprzez funkcję ays_chatgpt_pinecone_upsert. Umożliwia to nieuwierzytelnionym atakującym wysyłanie żądań sieciowych do dowolnych lokalizacji z serwera aplikacji oraz odpytywanie i modyfikowanie informacji z usług wewnętrznych.

Oryginalny opis (angielski, źródło NVD)

The AI ChatBot with ChatGPT and Content Generator by AYS plugin for WordPress is vulnerable to unauthorized access due to a missing capability check on the 'ays_chatgpt_save_wp_media' function in all versions up to, and including, 2.7.0. This makes it possible for unauthenticated attackers to upload media files.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS