CVE-2024-12626
— 神龙十问 AI 深度分析摘要
CVSS 9.6 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →
Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：WordPress插件 AutomatorWP 存在 **跨站脚本 (XSS)** 漏洞。
💥 **后果**：攻击者可注入恶意脚本，**执行任意代码**，严重威胁网站安全。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE ID**：**CWE-79** (跨站脚本)。
🐛 **缺陷点**：对用户输入清理不足，且输出时**转义缺失**，导致恶意代码被执行。
Q3影响谁？（版本/组件）
📦 **受影响组件**：**AutomatorWP** (WordPress 自动化插件)。
📅 **风险版本**：**5.0.9 版本及之前**的所有版本。
Q4黑客能干啥？（权限/数据）
🕵️ **黑客能力**：
1. **窃取数据**：获取用户 Cookie/会话。
2. **接管会话**：冒充合法用户。
3. **执行代码**：在受害者浏览器中运行任意 JS 脚本。
Q5利用门槛高吗？（认证/配置）
📉 **利用门槛**：**低**。
🔑 **认证要求**：无需认证 (PR:N)。
🖱️ **交互要求**：需用户点击链接 (UI:R)。
🌐 **攻击向量**：网络远程 (AV:N)。
Q6有现成Exp吗？（PoC/在野利用）
📜 **PoC 状态**：当前漏洞数据中 **无公开 PoC** (pocs: [])。
🌍 **在野利用**：暂无明确在野利用报告，但需警惕。
Q7怎么自查？（特征/扫描）
🔎 **自查方法**：
1. 检查 WordPress 后台插件列表。
2. 确认 **AutomatorWP** 版本是否 **≤ 5.0.9**。
3. 扫描网站是否存在未转义的输入点。
Q8官方修了吗？（补丁/缓解）
🛡️ **官方修复**：
✅ **已修复**：参考 WordPress Trac 变更集 **3209794**。
📌 **建议**：立即升级至最新版本以消除风险。
Q9没补丁咋办？（临时规避）
🚧 **临时规避**：
1. 若无补丁，**禁用**该插件。
2. 限制插件访问权限。
3. 实施严格的 **输入过滤** 和 **输出转义** 策略。
Q10急不急？（优先级建议）
⚡ **优先级**：**高**。
📊 **CVSS 评分**：**8.8 (高危)**。
💡 **建议**：鉴于无需认证且影响范围广，建议 **立即修复**。