CVE-2025-6238
Vulnérabilité élevée dans AI Engine (tigroumeow)
Description
The AI Engine plugin for WordPress is vulnerable to open redirect in version 2.8.4. This is due to an insecure OAuth implementation, as the 'redirect_uri' parameter is missing validation during the authorization flow. This makes it possible for unauthenticated attackers to intercept the authorization code and obtain an access token by redirecting the user to an attacker-controlled URI. Note: OAuth is disabled, the 'Meow_MWAI_Labs_OAuth' class is not loaded in the plugin in the patched version 2.8.5.
Gravité et risque d'exploitation
CVE-2025-6238 obtient un score CVSS de 8.0/10, soit une gravité élevée. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.37 %, ce qui la place devant 29.2 % des CVE référencées.
Que faire ?
- Vérifiez si AI Engine (versions 2.8.4) est présent sur votre parc.
- Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
- À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
- Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.
Références
- https://www.wordfence.com/threat-intel/vulnerabilities/id/1edc84fd-8cb5-4899-9444-1b6ae3144917?source=cve
- https://plugins.trac.wordpress.org/browser/ai-engine/tags/2.8.4/labs/oauth.php
- https://plugins.trac.wordpress.org/changeset/3321384/ai-engine/trunk/labs/mcp.php
- https://plugins.trac.wordpress.org/changeset/3321384/ai-engine/trunk/labs/oauth.php