CVE-2020-36852 — 神龙十问 AI 深度分析摘要
CVSS 9.1 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：权限缺失+验证不足。 💥 **后果**：数据库表被**完全擦除**，数据彻底丢失。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE-862**：缺失必要的授权检查。 ⚠️ **缺陷**：未验证用户权限，导致非法操作。
Q3影响谁？（版本/组件）
📦 **产品**：Custom Searchable Data Entry System。 🏷️ **版本**：1.7.1 及**之前**所有版本。
Q4黑客能干啥？（权限/数据）
👮 **权限**：无需认证（PR:N）。 🗑️ **数据**：直接**删除**数据库表，破坏性极强。
Q5利用门槛高吗？（认证/配置）
📉 **门槛**：极低。 🌐 **条件**：网络可访问（AV:N），无需用户交互（UI:N）。
Q6有现成Exp吗？（PoC/在野利用）
🔥 **在野利用**：Wordfence 报告有**活跃攻击**。 📜 **PoC**：数据中未提供具体代码，但威胁情报确认为真。
Q7怎么自查？（特征/扫描）
🔎 **自查**：检查插件名称及版本号。 🛡️ **扫描**：使用 WAF 或插件扫描器检测未授权删除请求。
Q8官方修了吗？（补丁/缓解）
🔧 **补丁**：需升级至**修复后版本**。 📢 **来源**：参考 Wordfence 官方通告获取最新修复指引。
Q9没补丁咋办？（临时规避）
🚫 **规避**：若无补丁，立即**停用**该插件。 🛡️ **隔离**：限制插件目录访问权限，防止未授权调用。
Q10急不急？（优先级建议）
🔴 **优先级**：**紧急**。 ⚡ **建议**：鉴于在野攻击活跃且后果严重，需**立即**处置。