CVE-2024-13725 — 神龙十问 AI 深度分析摘要

🚨 **本质**：路径遍历 + 本地文件包含 (LFI)。 💥 **后果**：攻击者可读取服务器任意文件，甚至执行代码，导致**数据泄露**和**服务器沦陷**。

🔍 **CWE-22**：路径遍历。 🐛 **缺陷**：未对用户输入的路径进行严格校验，导致可访问受限目录外的文件。

📦 **组件**：WordPress 插件 Keap Official Opt-in Forms。 🏢 **厂商**：infusionsoft。 📅 **版本**：**2.0.1 及之前**版本均受影响。

🕵️ **权限**：无需认证 (PR:N)。 📂 **数据**：可读取敏感配置文件、源码、日志。 💻 **执行**：结合 LFI 可能实现远程代码执行 (RCE)。

🚪 **门槛**：**极低**。 🔑 **认证**：无需登录 (PR:N)。 🌐 **网络**：远程利用 (AV:N)。 🎯 **复杂度**：低 (AC:L)。

📜 **PoC**：数据中未提供现成 Exploit 链接。 🌍 **在野**：暂无明确在野利用报告（基于当前数据）。 ⚠️ **注意**：CVSS 评分高，风险极大。

🔎 **自查**：检查 WordPress 插件列表。 📋 **特征**：确认是否安装 **Keap Official Opt-in Forms**。 📌 **版本**：核对版本号是否 **≤ 2.0.1**。

🛠️ **补丁**：官方已发布修复版本（参考 Trac Changeset 3243545）。 ✅ **建议**：立即升级至**最新版本**。

🛡️ **临时规避**： 1. **卸载**该插件（如非必需）。 2. 限制插件目录的文件访问权限。 3. 使用 WAF 拦截路径遍历特征（如 `../`）。

🔥 **优先级**：**紧急**。 📊 **CVSS**：**9.8** (Critical)。 🚀 **行动**：立即修复，防止服务器被完全控制。