CVE-2024-12824 — 神龙十问 AI 深度分析摘要

🚨 **本质**：Nokri 主题未校验空令牌（Token）。 💥 **后果**：攻击者可篡改任意用户密码，直接 **接管账户**（Account Takeover）。

🔍 **CWE**：CWE-620（未验证的空令牌引用）。 🛠️ **缺陷**：更新密码等敏感操作前，**未检查 Token 是否为空**，导致逻辑绕过。

📦 **组件**：Nokri – Job Board WordPress Theme。 🏢 **厂商**：scriptsbundle。 📉 **版本**：1.6.2 及 **之前所有版本** 均受影响。

🔓 **权限**：可修改 **任意用户** 密码，包括 **管理员**（Admin）。 👤 **数据**：完全控制受影响账户，获取后台权限。

🚪 **门槛**：**极低**。 👻 **认证**：**无需认证**（Unauthenticated）。 ⚙️ **配置**：无需特殊配置，直接利用。

📜 **Exp**：有现成 PoC。 🔗 **来源**：ProjectDiscovery Nuclei 模板已收录（CVE-2024-12824.yaml）。 🌍 **在野**：数据未明确提及大规模在野利用，但工具链已就绪。

🔎 **自查**：扫描 WordPress 站点是否安装 Nokri 主题。 📊 **版本**：确认版本是否 ≤ 1.6.2。 🛠️ **工具**：使用 Nuclei 模板或 WPScan 检测漏洞特征。

🛡️ **补丁**：数据未提供具体补丁版本。 ✅ **建议**：联系厂商或检查 Themeforest 页面获取 **最新版本** 更新。

⚠️ **临时规避**： 1. 暂时 **禁用** Nokri 主题相关功能。 2. 加强 **WAF** 规则，拦截异常密码重置请求。 3. 强制启用 **双因素认证**（2FA）增加攻击成本。

🔥 **优先级**：**紧急**。 📈 **CVSS**：9.8（Critical）。 ⏳ **行动**：立即升级主题或应用缓解措施，防止 **管理员账户被接管**。