CVE-2024-54295
— 神龙十问 AI 深度分析摘要
CVSS 9.8 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →
Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：身份验证绕过。攻击者利用备用路径或通道，直接跳过登录验证。后果：直接接管账户，数据泄露风险极高。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE-288**：认证绕过缺陷。核心问题在于系统对**备用访问通道**缺乏统一的安全校验，导致验证逻辑被 bypass。
Q3影响谁？（版本/组件）
🎯 **受影响**：WordPress 插件 **ListApp Mobile Manager**。版本：**1.7.7 及之前版本**。厂商：FluxBuilder。
Q4黑客能干啥？（权限/数据）
💥 **黑客能力**：CVSS 评分极高（H/I/H）。可完全**接管账户**，读取、修改或删除所有敏感数据，甚至控制整个站点。
Q5利用门槛高吗？（认证/配置）
📉 **门槛极低**：CVSS 显示 **PR:N**（无需权限）、**AC:L**（攻击简单）。无需认证即可利用，无需用户交互，极易触发。
Q6有现成Exp吗？（PoC/在野利用）
📦 **Exp/PoC**：当前数据中 **pocs 为空**。暂无公开现成代码，但漏洞原理简单，利用脚本极易编写。
Q7怎么自查？（特征/扫描）
🔎 **自查方法**：检查 WordPress 插件列表，确认是否安装 **ListApp Mobile Manager**。重点排查版本是否 **≤ 1.7.7**。
Q8官方修了吗？（补丁/缓解）
🛡️ **官方修复**：数据未提供具体补丁链接。建议立即联系厂商 FluxBuilder 或查看 Patchstack 页面获取最新修复方案。
Q9没补丁咋办？（临时规避）
🚧 **临时规避**：若无法升级，建议**立即禁用该插件**。或配置 WAF 规则，拦截对备用路径/通道的异常访问请求。
Q10急不急？（优先级建议）
⚡ **优先级**：**紧急**。CVSS 向量显示所有危害指标均为 High。无需认证即可利用，建议**立即行动**修复或隔离。