CVE-2024-13011 — 神龙十问 AI 深度分析摘要

🚨 **本质**：文件类型验证缺失，导致**任意文件上传**。 💥 **后果**：攻击者可上传恶意脚本，直接**控制服务器**，窃取数据或植入后门。

🔍 **CWE**：CWE-434（**不安全的文件上传**）。 📍 **缺陷点**：`upload_publisher_profile_image` 函数未严格校验文件类型，绕过机制失效。

📦 **产品**：WordPress 插件 **WP Foodbakery**。 🏢 **厂商**：Chimpstudio。 📅 **版本**：**4.7 版本及之前**均受影响。

👑 **权限**：获得 **Web Shell** 权限，等同于服务器管理员。 📂 **数据**：可读取/修改所有网站数据，包括用户信息、数据库内容。

📉 **门槛**：**极低**。 🔓 **认证**：无需认证（PR:N）。 🌐 **网络**：远程利用（AV:N）。 🖱️ **交互**：无需用户交互（UI:N）。

🧪 **Exp**：当前 **无公开 PoC**（pocs 为空）。 🌍 **在野**：暂无在野利用报告，但风险极高，需警惕。

🔎 **自查**：检查 WordPress 后台插件列表。 🔍 **特征**：确认是否安装 **WP Foodbakery** 且版本 **≤ 4.7**。 🛠️ **工具**：使用 WPScan 或插件市场版本比对。

🛡️ **补丁**：官方未提供具体补丁链接。 💡 **建议**：立即联系厂商 **Chimpstudio** 或访问 ThemeForest 页面获取更新。

🚧 **临时规避**： 1️⃣ **停用**该插件。 2️⃣ **删除**相关上传目录的写入权限。 3️⃣ 配置 WAF 拦截 `.php` 等可执行文件上传请求。

⚡ **优先级**：**紧急**（CVSS 9.8 高危）。 🚨 **行动**：立即升级插件或停用，防止被自动化脚本扫描利用。