CVE-2023-51481
— 神龙十问 AI 深度分析摘要
CVSS 9.8 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →
Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：权限管理不当导致的安全漏洞。
💥 **后果**：攻击者可发起 **未授权账户接管 (Account Takeover)**，直接控制受害者账户。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE**：CWE-269 (权限提升/不当权限管理)。
📍 **缺陷点**：插件内部 **权限检查逻辑缺失或错误**，导致非管理员用户可执行敏感操作。
Q3影响谁？（版本/组件）
📦 **组件**：WordPress Plugin **Local Delivery Drivers for WooCommerce**。
🏢 **厂商**：powerfulwp。
📅 **版本**：**1.9.0 及之前版本** 均受影响。
Q4黑客能干啥？（权限/数据）
🔑 **权限**：无需认证即可操作。
📊 **数据**：CVSS评分极高 (C:H/I:H/A:H)，意味着可 **完全控制** 账户，窃取数据、篡改配置或植入恶意代码。
Q5利用门槛高吗？（认证/配置）
🚪 **门槛**：**极低**。
🔓 **认证**：**无需登录 (Unauthenticated)**。
🌐 **网络**：远程利用 (AV:N)。
⚡ **复杂度**：低 (AC:L)。
Q6有现成Exp吗？（PoC/在野利用）
📜 **PoC**：数据中未提供公开 PoC 代码。
🌍 **在野**：暂无明确在野利用报告，但漏洞性质严重，**风险极高**，建议视为高危。
Q7怎么自查？（特征/扫描）
🔎 **自查**：检查 WordPress 后台插件列表。
📋 **特征**：确认是否安装 **Local Delivery Drivers for WooCommerce**。
📌 **版本**：核对版本号是否 **≤ 1.9.0**。
Q8官方修了吗？（补丁/缓解）
🛡️ **补丁**：官方已发布修复方案。
✅ **行动**：升级至 **1.9.1 或更高版本** 即可修复此漏洞。
🔗 **参考**：Patchstack 已收录该漏洞详情。
Q9没补丁咋办？（临时规避）
⚠️ **临时规避**：若无法立即升级：
1️⃣ **禁用插件**：暂时停用该插件。
2️⃣ **访问控制**：限制 WordPress 后台 IP 访问。
3️⃣ **WAF 防护**：拦截针对该插件 API 的异常请求。
Q10急不急？（优先级建议）
🔥 **优先级**：**紧急 (Critical)**。
💡 **见解**：CVSS 满分潜力 (H/H/H)，且 **无需认证**，极易被自动化脚本扫描利用。建议 **立即升级** 或 **停用插件**。