CVE-2023-49777
— 神龙十问 AI 深度分析摘要
CVSS 9.1 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →
Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：PHP对象注入漏洞 (CVE-2023-49777)。
💥 **后果**：攻击者可执行任意代码，完全控制受影响实例。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE**：CWE-502 (反序列化不可信数据)。
📍 **缺陷**：YITH WooCommerce Product Add-Ons 插件存在代码处理问题。
Q3影响谁？（版本/组件）
🏢 **厂商**：YITH。
📦 **产品**：YITH WooCommerce Product Add-Ons。
🌐 **平台**：WordPress 环境。
Q4黑客能干啥？（权限/数据）
🔓 **权限**：高 (CVSS A:H, I:H, C:H)。
📊 **数据**：可窃取敏感数据，篡改系统完整性，导致服务不可用。
Q5利用门槛高吗？（认证/配置）
🔑 **门槛**：需 **PR:H** (Privileges Required: High)。
🚧 **条件**：攻击者需具备一定权限才能触发，非完全匿名利用。
Q6有现成Exp吗？（PoC/在野利用）
📜 **Exp**：暂无公开 PoC 或确凿的在野利用报告。
⏳ **状态**：数据标注为“暂无相关信息”，但存在 Patchstack 记录。
Q7怎么自查？（特征/扫描）
🔎 **自查**：检查 WordPress 后台是否安装 **YITH WooCommerce Product Add-Ons**。
📅 **版本**：参考 Patchstack 提及的 **4.3.0** 及相关版本。
Q8官方修了吗？（补丁/缓解）
🛡️ **补丁**：官方公告提及修复，需关注厂商最新安全更新。
🔄 **动作**：立即升级插件至安全版本。
Q9没补丁咋办？（临时规避）
⚠️ **规避**：若无补丁，建议 **禁用** 该插件。
🚫 **限制**：严格限制访问权限，防止未授权用户接触受影响功能。
Q10急不急？（优先级建议）
🔥 **优先级**：**高**。
📉 **风险**：CVSS 评分极高 (完整影响)，虽需认证，但后果严重，建议尽快处理。