CVE-2019-25296 — 神龙十问 AI 深度分析摘要
CVSS 9.8 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：文件类型验证缺失。 💥 **后果**：攻击者可执行**任意文件上传**和**删除**操作，直接威胁服务器安全。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE**：CWE-434（不受限制的文件上传）。 📍 **缺陷点**：AJAX操作 `lfb_upload_form` 和 `lfb_removeFile` 未校验文件类型。
Q3影响谁？（版本/组件）
🏢 **厂商**：loopus。 📦 **产品**：WP Cost Estimation & Payment Forms Builder。 📉 **版本**：**9.642** 及之前版本。
Q4黑客能干啥？（权限/数据）
🔓 **权限**：无需认证（PR:N）。 📂 **数据**：可上传Webshell或恶意脚本，完全控制网站文件，导致**机密性、完整性、可用性**全部丧失（CVSS:H）。
Q5利用门槛高吗？（认证/配置）
🚪 **门槛**：**极低**。 🌐 **条件**：网络访问（AV:N）、低复杂度（AC:L）、无需用户交互（UI:N）。
Q6有现成Exp吗？（PoC/在野利用）
🔥 **在野利用**：参考ZDNet报道，存在**在野利用**（exploited in the wild）。 📜 **PoC**：数据中未提供具体PoC，但威胁情报已确认活跃。
Q7怎么自查？（特征/扫描）
🔎 **自查**：检查WordPress插件列表。 🔍 **特征**：确认是否安装 **WP Cost Estimation** 插件，且版本号 **≤ 9.642**。
Q8官方修了吗？（补丁/缓解）
🛡️ **补丁**：参考WordFence和Acunetix链接，官方已发布修复补丁。 ✅ **建议**：立即升级至最新版本。
Q9没补丁咋办？（临时规避）
⚠️ **临时规避**：若无法升级，需严格限制插件权限。 🚫 **措施**：禁用不必要的AJAX端点，或暂时停用该插件，防止恶意文件上传。
Q10急不急？（优先级建议）
🚨 **优先级**：**紧急**。 💡 **理由**：CVSS评分高（H/H/H），无需认证即可利用，且已在野外被利用，需**立即修复**。