CVE-2024-50487
— 神龙十问 AI 深度分析摘要
CVSS 9.8 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →
Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：身份认证绕过漏洞。
💥 **后果**：攻击者可非法接管账户，导致**数据泄露**、**内容篡改**及**服务中断**。
📉 **严重度**：CVSS 满分 9.8，高危！
Q2根本原因？（CWE/缺陷点）
🔍 **CWE**：CWE-288 (身份认证绕过)。
🐛 **缺陷**：插件未正确验证用户身份，导致**认证机制失效**。
📍 **根源**：API 接口缺乏严格的访问控制检查。
Q3影响谁？（版本/组件）
📦 **厂商**：Acnoo。
🔌 **产品**：MaanStore API 插件。
📅 **版本**：**1.0.1 及之前版本**。
🌐 **环境**：WordPress 博客平台。
Q4黑客能干啥？（权限/数据）
👤 **权限**：完全接管用户账户（Account Takeover）。
🔓 **数据**：高机密性风险（C:H），可读取敏感信息。
🛠️ **操作**：高完整性/可用性风险（I:H/A:H），可篡改数据或破坏服务。
Q5利用门槛高吗？（认证/配置）
🚪 **认证**：无需认证（PR:N）。
🎯 **复杂度**：低（AC:L）。
👀 **交互**：无需用户交互（UI:N）。
🌍 **攻击面**：网络远程（AV:N）。
✅ **结论**：**极低门槛**，极易利用。
Q6有现成Exp吗？（PoC/在野利用）
📜 **PoC**：数据中未提供公开 PoC。
🌍 **在野**：暂无明确在野利用报告。
🔗 **参考**：Patchstack 数据库已收录，建议关注后续动态。
Q7怎么自查？（特征/扫描）
🔎 **自查**：检查 WordPress 插件列表。
📋 **特征**：查找名为 **MaanStore API** 的插件。
📊 **版本**：确认版本号是否 **≤ 1.0.1**。
🛠️ **工具**：使用 WPScan 或 Patchstack 扫描器检测。
Q8官方修了吗？（补丁/缓解）
🛡️ **补丁**：数据未提及具体修复版本。
⚠️ **建议**：立即联系厂商 **Acnoo** 获取更新。
🔄 **动作**：升级至修复后的最新版本，或暂时禁用插件。
Q9没补丁咋办？（临时规避）
🚫 **临时规避**：若无法升级，建议**立即停用**该插件。
🔒 **隔离**：限制插件 API 接口的网络访问权限。
👁️ **监控**：加强日志审计，关注异常登录行为。
Q10急不急？（优先级建议）
🔥 **优先级**：**紧急 (Critical)**。
⚡ **理由**：CVSS 9.8 分 + 无需认证 + 远程利用。
🏃 **行动**：建议 **24小时内** 完成修复或缓解措施。