WordPress 的 AI Engine 外掛程式中發現了一個嚴重漏洞，特別影響該程式的免費版本使用者。預計超過 50,000 個網站使用AI Engine 外掛程式。

AI Engine 外掛程式因其多樣化的人工智慧相關功能而受到歡迎，允許用戶建立聊天機器人、管理內容並利用各種AI工具，如翻譯、搜尋引擎優化等。

根據 Patchstack 公司發布的公告，此漏洞編號為CVE-2023-51409。涉及的安全缺陷是 files.php 模組中外掛程式的 rest_upload 函數中未經身份驗證的任意檔案上傳漏洞。

該漏洞允許任何未經身份驗證的用戶上傳任意檔案，如潛在的惡意 PHP 檔，這可能導致在受影響的系統遠端執行程式碼。

值得注意的是，相關REST API端點的permission_callback參數設定為__return_true，允許任何未經身份驗證的使用者觸發易受攻擊的函數。程式碼中缺乏正確的文件類型和副檔名驗證，允許上傳任意檔，從而構成重大安全風險。

為了緩解此漏洞，AI Engine 外掛程式的開發團隊在 1.9.99 版本中導入修補程式。此修補程式對自訂 REST API 端點實作權限檢查，並使用 wp_check_filetype_and_ext 函數合併檔案類型和副檔名檢查。

強烈建議用戶將其 AI Engine 外掛程式更新到至少 1.9.99 版本，以確保他們的系統免受潛在的利用。

Patchstack建議用戶永遠檢查外掛程式或主題程式碼中 $_FILES 參數的每個程序。在上傳檔案之前，務必檢查檔案名稱和副檔名。另外，特別注意自訂 REST API 端點的權限檢查。