PT-2025-27847 · WordPress · Ai Engine

István Márton · Publicado 2025-07-04 · Atualizado 2025-08-13 · CVE-2025-6238

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.0

Alta

Vetor base

AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas: Plugin AI Engine para WordPress versão 2.8.4

Descrição: A falha decorre de uma implementação insegura do OAuth, especificamente pela falta de validação do parâmetro redirect uri durante o fluxo de autorização. Isso permite que atacantes não autenticados interceptem o código de autorização e obtenham um token de acesso ao redirecionar o usuário para um URI controlado pelo atacante.

Recomendações: Para a versão 2.8.4, atualize para a versão 2.8.5, na qual o OAuth está desativado e a classe 'Meow MWAI Labs OAuth' não é carregada, mitigando assim a vulnerabilidade de redirecionamento aberto.

Correção

Open Redirect

Enumeração de Fraquezas

CWE-601

Identificadores relacionados

CVE-2025-6238

Produtos afetados

Ai Engine

Referências · 12

• https://nvd.nist.gov/vuln/detail/CVE-2025-6238 · Nota de Segurança
• https://wordfence.com/threat-intel/vulnerabilities/id/1edc84fd-8cb5-4899-9444-1b6ae3144917?source=cve · Nota
• https://twitter.com/cracbot/status/1942901587422441978 · Publicação no Twitter
• https://twitter.com/jmdevlabs/status/1946592588644978991 · Publicação no Twitter
• https://t.me/cvenotify/127686 · Publicação no Telegram
• https://plugins.trac.wordpress.org/changeset/3321384/ai-engine/trunk/labs/mcp.php · Correção
• https://plugins.trac.wordpress.org/browser/ai-engine/tags/2.8.4/labs/oauth.php · Nota
• https://osv.dev/vulnerability/CVE-2025-6238 · Aviso do Fabricante
• https://twitter.com/marcin_brz81183/status/1946616893067948329 · Publicação no Twitter
• https://plugins.trac.wordpress.org/changeset/3321384/ai-engine/trunk/labs/oauth.php · Correção
• https://t.me/cveNotify/132138 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/1941008706142921130 · Publicação no Twitter