CVE-2023-52200
— 神龙十问 AI 深度分析摘要
CVSS 9.6 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →
Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：CSRF 导致 PHP 对象注入。
💥 **后果**：攻击者可远程执行任意代码，完全控制站点。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE**：CWE-352（跨站请求伪造）。
🐛 **缺陷**：缺乏 CSRF 验证，导致恶意请求被当作合法操作执行。
Q3影响谁？（版本/组件）
📦 **厂商**：Repute Infosystems。
🔌 **产品**：ARMember Membership Plugin。
📌 **版本**：4.0.22 及以下。
Q4黑客能干啥？（权限/数据）
👑 **权限**：无需认证（PR:N）。
📊 **数据**：高机密性/完整性/可用性影响（C:H/I:H/A:H）。
Q5利用门槛高吗？（认证/配置）
🚪 **门槛**：低。
🖱️ **条件**：需用户交互（UI:R），但无需登录（PR:N）。
Q7怎么自查？（特征/扫描）
🔎 **自查**：检查是否安装 ARMember 插件。
📋 **版本**：确认版本 <= 4.0.22。
Q8官方修了吗？（补丁/缓解）
🛡️ **补丁**：厂商已发布修复。
📢 **状态**：建议立即升级至最新版本。
Q9没补丁咋办？（临时规避）
⚠️ **规避**：启用 CSRF 防护插件。
🚫 **限制**：限制未登录用户访问敏感功能。