El plugin AI ChatBot para WordPress es vulnerable a Directory Traversal en versiones hasta e incluyendo la 4.8.9 así como la 4.9.2 a través de la función qcld_openai_upload_pagetraining_file. Esto permite a usuarios suscritos

El impacto de esta vulnerabilidad es significativo debido a su facilidad de explotación y el potencial daño que puede causar. Un atacante puede aprovechar la función qcldopenaiuploadpagetrainingfile para inyectar código PHP malicioso en cualquier archivo del servidor, simplemente añadiendo "<?php" al principio. Esto puede resultar en una denegación de servicio (DoS) si se modifica un archivo crítico como wp-config.php, impidiendo el funcionamiento del sitio web. La posibilidad de inyectar código PHP abre la puerta a ataques más sofisticados, como la ejecución remota de código, comprometiendo la seguridad del servidor WordPress completo.

Websites utilizing AI ChatBot for WordPress, particularly those with subscriber-level users who have file upload privileges, are at significant risk. Shared hosting environments where users have limited control over file permissions are especially vulnerable. WordPress installations with outdated versions of AI ChatBot are also at high risk.

• wordpress / composer / npm:

grep -r "qcld_openai_upload_pagetraining_file" /var/www/html/wp-content/plugins/

• wordpress / composer / npm:

wp plugin list | grep ai-chatbot

• wordpress / composer / npm:

wp plugin update ai-chatbot

• generic web: Review WordPress access logs for unusual file upload attempts, particularly those involving path traversal sequences (e.g., ../).

1. 2023-10-19Disclosure

   disclosure

2. 2023-10-19Patch

   patch

1. Reservado2023-09-27
2. Publicada2023-10-19
3. Modificada2025-06-12
4. EPSS actualizado2026-04-02

La mitigación principal para CVE-2023-5241 es actualizar el plugin AI ChatBot a la versión 4.9.3 o superior. Si la actualización no es inmediatamente posible, considere implementar medidas de seguridad adicionales. Restrinja los permisos de escritura para el directorio de subida de archivos del plugin. Implemente reglas en su firewall de aplicaciones web (WAF) para bloquear solicitudes que contengan secuencias como "<?php". Monitoree los archivos del servidor en busca de modificaciones inesperadas. Después de la actualización, verifique que el plugin se haya actualizado correctamente y que los archivos críticos no hayan sido modificados.

Instalaciones activas

6KPopular

Valoración del plugin

4.7

Requiere WordPress

4.6+

Compatible hasta

7.0

Requiere PHP

5.6+