CVE-2024-10763 — 神龙十问 AI 深度分析摘要
CVSS 9.8 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：路径遍历漏洞（Path Traversal）。 💥 **后果**：攻击者可包含并执行服务器上的**任意文件**，导致服务器被完全控制。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE**：CWE-22（路径遍历）。 🐛 **缺陷点**：函数 `campress_woocommerce_get_ajax_products` **未正确验证输入**，导致恶意路径被解析。
Q3影响谁？（版本/组件）
🎯 **受影响**：WordPress 主题 **Campress**。 📦 **版本**：**1.35 版本及之前**的所有版本。
Q4黑客能干啥？（权限/数据）
🕵️ **黑客能力**： 1. **读取**敏感文件（如配置文件、源码）。 2. **执行**任意代码（RCE）。 3. 获取服务器**最高权限**（CVSS评分极高）。
Q5利用门槛高吗？（认证/配置）
🚪 **利用门槛**：**极低**。 📊 **条件**：无需认证（PR:N）、无需用户交互（UI:N）、网络远程即可利用（AV:N）。
Q6有现成Exp吗？（PoC/在野利用）
📜 **Exp现状**：数据中 **PoCs 为空**。 ⚠️ **注意**：虽无公开PoC，但鉴于CVSS 9.8的高危评分，**在野利用风险极大**，需高度警惕。
Q7怎么自查？（特征/扫描）
🔎 **自查方法**： 1. 检查 WordPress 后台主题列表。 2. 确认是否安装 **Campress** 主题。 3. 核对版本号是否 **≤ 1.35**。
Q8官方修了吗？（补丁/缓解）
🛡️ **官方修复**：数据未提供具体补丁链接。 ✅ **建议**：访问官方渠道（如 ThemeForest 页面）获取**最新版本**进行升级。
Q9没补丁咋办？（临时规避）
🚧 **临时规避**： 1. **立即停用**或卸载该主题。 2. 若必须使用，限制对 `campress_woocommerce_get_ajax_products` 相关端点的**访问权限**。 3. 部署 WAF 拦截路径遍历特征。
Q10急不急？（优先级建议）
🔥 **优先级**：**紧急**（Critical）。 💡 **理由**：CVSS 3.1 评分 **9.8**（极高危），远程无需认证即可利用，建议**立即修复**。