CVE-2024-13790 — 神龙十问 AI 深度分析摘要

🚨 **本质**：本地文件包含 (LFI) 漏洞。 🔥 **后果**：攻击者可包含并执行服务器上的**任意文件**。 💥 **影响**：导致服务器被完全控制，数据泄露或网站篡改。

🔍 **CWE**：CWE-98 (命令/代码注入相关，此处特指文件包含)。 📍 **缺陷点**：`template` 参数未经验证，直接用于文件包含逻辑。

🎯 **厂商**：ThemeMove。 📦 **产品**：MinimogWP – The High Converting eCommerce WordPress Theme。 📅 **版本**：**3.7.0 及之前版本**均受影响。

🕵️ **权限**：**未经身份验证** (Unauthenticated)。 💾 **数据**：可读取服务器任意文件（如 wp-config.php 获取数据库密码）。 ⚡ **执行**：可包含并执行恶意文件，获取 **Shell** 权限。

📉 **门槛**：**极低**。 🔓 **认证**：**无需登录** (PR:N)。 🌐 **网络**：远程利用 (AV:N)。 🎯 **复杂度**：低 (AC:L)，无需用户交互 (UI:N)。

📜 **PoC**：当前数据中 **无** 公开 PoC (pocs: [])。 🌍 **在野**：数据未提及在野利用情况。 ⚠️ **注意**：CVSS 评分极高，可能存在自动化利用工具。

🔍 **自查特征**：检查 URL 中是否包含 `template` 参数。 🛠️ **扫描**：使用 WAF 或漏洞扫描器检测 LFI 特征。 📂 **文件**：检查 WordPress 插件目录是否存在 MinimogWP 旧版本。

🛡️ **补丁**：数据未提供具体修复版本。 📢 **官方渠道**：建议访问 [ThemeMove Changelog](https://changelog.thememove.com/minimog-wp/) 或 [ThemeForest](https://themeforest.net/item/minimog-the-high-converting-ecommerce-theme/36947163) 获取最新安全更新。…

🚧 **临时规避**： 1️⃣ **立即升级**至最新版本。 2️⃣ **禁用**该插件（若业务允许）。 3️⃣ **WAF 规则**：拦截包含 `template` 参数的可疑请求，特别是包含 `../` 的路径。 4️⃣ **限制文件包含**：在 PHP 配置中禁用 `allow_url_include`。

🔴 **优先级**：**紧急 (Critical)**。 📊 **CVSS**：**9.8** (极高危)。 ⚡ **建议**：由于无需认证且影响全面 (C:H/I:H/A:H)，建议 **立即** 采取行动修复或隔离。