CVE-2024-32832 — 神龙十问 AI 深度分析摘要

🚨 **本质**：Broken Access Control（失效的访问控制）。 📉 **后果**：攻击者可绕过正常流程，直接以他人身份登录，导致**完全接管账户**。

🔍 **CWE-862**：缺少必要的授权检查。 🐛 **缺陷点**：使用**电话号码**登录时，后端未验证操作者是否为该号码的所有者。

📦 **产品**：WordPress Plugin - Login with phone number。 👤 **厂商**：Hamid Alinia。 📅 **版本**：**1.6.93** 及之前所有版本。

👮 **权限**：获取**管理员/用户**权限。 💾 **数据**：可读取、修改目标账户的**所有隐私数据**，甚至执行后台操作。

📶 **利用门槛**：**极低**。 🔓 **认证**：无需认证（PR:N）。 🖱️ **交互**：无需用户交互（UI:N）。 🌐 **网络**：远程利用（AV:N）。

🧪 **PoC**：数据中未提供公开 PoC。 🔥 **在野利用**：暂无明确在野利用报告，但漏洞原理简单，**极易编写**。

🔎 **自查**：检查 WP 插件列表，确认是否安装 **Login with phone number**。 📊 **版本**：核对版本是否 **≤ 1.6.93**。

🛠️ **补丁**：数据未提及具体补丁版本。 🔗 **参考**：建议访问 Patchstack 链接查看官方修复建议或联系厂商。

🚧 **临时规避**： 1. **禁用**该插件。 2. 切换回**传统邮箱/用户名**登录方式。 3. 限制登录接口访问权限。

⚡ **优先级**：**紧急**。 📈 **CVSS**：**9.1** (Critical)。 💡 **建议**：立即升级或禁用插件，此漏洞影响完整性、机密性和可用性。