AI motor eklentisinde 100.000’den fazla WordPress web sitesini etkileyen bir güvenlik kusuru keşfedilmiştir, özellikle 2.9.3 ve 2.9.4 sürümlerini etkilemektedir. Rasgele bir dosya yükleme güvenlik açığı olarak sınıflandırılan güvenlik açığı, abone seviyesi erişiminden başlayarak kimliği doğrulanmış kullanıcıların kötü amaçlı dosyaları yüklemesine ve potansiyel olarak sunucudaki uzaktan kod yürütme (RCE) ayrıcalıklarını kazanmasına olanak tanır. Bu tür bir güvenlik açığı tam site uzlaşmasına neden olabilir.
CVE-2025-7847 kapsamında izlenen sorun, WordFence Bug Bounty programı aracılığıyla İsmailshadow olarak bilinen bir araştırmacı tarafından 18 Temmuz 2025’te WordFence’a sorumlu bir şekilde bildirildi. Güvenlik açığı sadece bir gün önce, 17 Temmuz’da tanıtıldı. Zamanında keşifleri için araştırmacıya 1.170 dolarlık bir ödül verildi.
AI motor güvenlik açığının teknik analizi
Güvenlik açığı, eklentinin uygun dosya türü doğrulamasını uygulayamayan REST_simpleFileUpload () işlevinde bulunur. Etkilenen sürümlerde, varsayılan olarak devre dışı bırakılan “genel API” seçeneği etkinleştirildiğinde, kimlik doğrulamalı kullanıcı eklentinin REST API uç noktasıyla etkileşime girebilir /MWAI/V1/SimpleFileUpload. Herhangi bir yapılandırılmış taşıyıcı jeton kimlik doğrulaması olmadan, bu uç nokta, PHP komut dosyaları da dahil olmak üzere keyfi dosyaları kabul eder ve saldırganların sitenin genel yükleme dizinine kötü amaçlı kod yerleştirmesine izin verir.
Sorun yatıyor upload_file () işlevi Meow_mwai_modules_files sınıf. Bu işlev PHP’nin yerli kullandı Kopya () Dosyanın mime türünü veya uzantısını doğrulamadan yüklenen dosyaları depolamak için işlev. Sonuç olarak, saldırganlar dosya kısıtlamalarını atlayabilir ve sunucuya yüklenen PHP komut dosyalarını yürütebilir. Bu komut dosyalarına, keyfi bir dosya yükleme güvenlik açığının en tehlikeli sonuçlarından biri olan uzaktan kod yürütülmesine yol açan bir tarayıcı üzerinden erişilebilir.
Sömürü koşulları
Bu kusurun tüm AI motor kullanıcılarını etkilemediğini fark etmek önemlidir. Sömürü şunları gerektirir:
- Eklenti ayarlarındaki “genel API” seçeneği etkinleştirildi.
- Taşıyıcı jeton veya özel kimlik doğrulama yöntemi yapılandırılmamıştır.
- Kullanıcı kimliği doğrulanır (abone rolü bile yeterlidir).
Bu koşullar karşılandığında, eklentinin dinlenme uç noktası savunmasız hale gelir ve düşük seviyeli kullanıcılara kötü amaçlı sunucu tarafı kodu yürütmek için bir yol verir.
Yama ve iyileştirme
22 Temmuz 2025’te, eklenti geliştiricisi Jordy Meow hızlı bir şekilde cevap verdi ve bir düzeltme içeren 2.9.5 sürümünü yayınladı. Yama wp_check_filetype () her ikisinde de işlev SimpleFileUpload () Ve upload_file () yöntemler. Bu, yalnızca izin verilen dosya türlerinin kabul edilmesini sağlar ve güvenlik açığını etkili bir şekilde hafifletir.
Güvenlik önlemleri ve zaman çizelgeleri
- 18 Temmuz 2025: WordFence’a gönderilen güvenlik açığı.
- 18 Temmuz 2025: WordFence Güvenlik Açığı Yönetim Portalı aracılığıyla geliştiriciye doğrulanmış ve açıklanmıştır.
- 21 Temmuz 2025: WordFence Premium, Care ve yanıt kullanıcılarına bir güvenlik duvarı kuralı konuşlandırıldı.
- 22 Temmuz 2025: Yamalı sürüm 2.9.5 AI motoru yayınlandı.
- 20 Ağustos 2025: Koruma WordFence ücretsiz kullanıcılar tarafından kullanılabilir.
WordFence’ın hızlı yanıtı, sömürü fırsatını daraltmaya yardımcı oldu. Yine de, CVE-2025-7847 güvenlik açığının ciddiyeti nedeniyle, AI motor eklentisinin tüm kullanıcılarına, özellikle sitelerinin genel API özelliği etkinleştirilmişse, 2.9.5 veya daha sonraki sürümlere güncellemeleri istenir.
Çözüm
AI motor eklentisindeki CVE-2025-7847 güvenlik açığı, özellikle genel API özelliklerine sahip eklentiler için uygun giriş doğrulama ve erişim kontrolünün önemini vurgulamaktadır. Küçük gözetimler bile uzaktan kod yürütme gibi ciddi güvenlik risklerine yol açabilir. AI motorunun yaygın kullanımı ile dinlenme API uç noktalarının kimlik doğrulaması ile güvence altına alınmasını sağlamak esastır.