一、 漏洞 CVE-2025-7847 基础信息
漏洞信息
                                        # AI Engine 2.9.3-2.9.4 任意文件上传漏洞

## 概述

AI Engine 插件的 WordPress 版本存在任意文件上传漏洞，源于 `rest_simpleFileUpload()` 函数缺少文件类型验证。

## 影响版本

- 版本 2.9.3
- 版本 2.9.4

## 漏洞细节

插件未对上传的文件进行有效的类型检查，导致攻击者可通过启用了 REST API 的站点上传任意文件。

## 漏洞影响

具备订阅者及以上权限的认证攻击者可利用该漏洞在服务器上上传恶意文件，可能导致远程代码执行（RCE）。
提示
尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
漏洞标题
AI Engine 2.9.3 - 2.9.4 - Authenticated (Subscriber+) Arbitrary File Upload
来源：美国国家漏洞数据库 NVD
漏洞描述信息
The AI Engine plugin for WordPress is vulnerable to arbitrary file uploads due to missing file type validation in the rest_simpleFileUpload() function in versions 2.9.3 and 2.9.4. This makes it possible for authenticated attackers, with Subscriber-level access and above, to upload arbitrary files on the affected site's server when the REST API is enabled, which may make remote code execution possible.
来源：美国国家漏洞数据库 NVD
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
来源：美国国家漏洞数据库 NVD
漏洞类别
危险类型文件的不加限制上传
来源：美国国家漏洞数据库 NVD
漏洞标题
WordPress plugin AI Engine 代码问题漏洞
来源：中国国家信息安全漏洞库 CNNVD
漏洞描述信息
WordPress和WordPress plugin都是WordPress基金会的产品。WordPress是一套使用PHP语言开发的博客平台。该平台支持在PHP和MySQL的服务器上架设个人博客网站。WordPress plugin是一个应用插件。 WordPress plugin AI Engine 2.9.3和2.9.4版本存在代码问题漏洞，该漏洞源于rest_simpleFileUpload函数未验证文件类型，可能导致任意文件上传和远程代码执行。
来源：中国国家信息安全漏洞库 CNNVD
CVSS信息
N/A
来源：中国国家信息安全漏洞库 CNNVD
漏洞类别
代码问题
来源：中国国家信息安全漏洞库 CNNVD
二、漏洞 CVE-2025-7847 的公开POC
# POC 描述 源链接 神龙链接
1 Wordpress Plugin AI Engine 2.9.3 - 2.9.4 Proof Of Concept https://github.com/EricArdiansa/CVE-2025-7847-POC POC详情
三、漏洞 CVE-2025-7847 的情报信息

  • 标题： AI Engine 2.9.3 - 2.9.4 - Authenticated (Subscriber+) Arbitrary File Upload -- 🔗来源链接

    标签：

    神龙速读
    AI Engine 2.9.3 - 2.9.4 - Authenticated (Subscriber+) Arbitrary File Upload

  • 标题： api.php in ai-engine/tags/2.9.3/classes – WordPress Plugin Repository -- 🔗来源链接

    标签：

    神龙速读
    api.php in ai-engine/tags/2.9.3/classes – WordPress Plugin Repository

  • 标题： files.php in ai-engine/tags/2.9.3/classes/modules – WordPress Plugin Repository -- 🔗来源链接

    标签：

    神龙速读
    files.php in ai-engine/tags/2.9.3/classes/modules – WordPress Plugin Repository

  • 标题： Changeset 3329842 for ai-engine/trunk/classes/api.php – WordPress Plugin Repository -- 🔗来源链接

    标签：

    神龙速读
    Changeset 3329842 for ai-engine/trunk/classes/api.php – WordPress Plugin Repository

  • 标题： Changeset 3332539 for ai-engine – WordPress Plugin Repository -- 🔗来源链接

    标签：

    神龙速读
    Changeset 3332539 for ai-engine – WordPress Plugin Repository
  • https://nvd.nist.gov/vuln/detail/CVE-2025-7847
四、漏洞 CVE-2025-7847 的评论

暂无评论

发表评论