CVE-2024-55972
— 神龙十问 AI 深度分析摘要
CVSS 9.3 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →
Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：SQL注入 (SQLi)。
💥 **后果**：攻击者可绕过过滤，直接操作数据库，导致**数据泄露**或**系统被控**。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE-89**：SQL注入漏洞。
🐛 **缺陷点**：用户输入参数**未充分转义**，且SQL查询**缺乏预处理**，导致恶意代码拼接。
Q3影响谁？（版本/组件）
📦 **组件**：WordPress 插件 **eTemplates**。
🏢 **厂商**：chriscarvache。
📅 **版本**：**0.2.1** 及更早版本。
Q4黑客能干啥？（权限/数据）
🕵️ **权限**：**未授权** (Unauthenticated) 攻击者即可利用。
📊 **数据**：可提取数据库中的**敏感信息**，甚至可能修改数据。
Q5利用门槛高吗？（认证/配置）
📉 **门槛低**：无需登录，无需用户交互 (UI:N)，网络远程 (AV:N) 即可触发。
⚡ **难度**：低 (AC:L)。
Q6有现成Exp吗？（PoC/在野利用）
📜 **有PoC**：GitHub 上已有公开利用代码 (RandomRobbieBF/CVE-2024-55972)。
🔥 **状态**：漏洞细节已公开，存在被自动化扫描利用的风险。
Q7怎么自查？（特征/扫描）
🔎 **自查**：检查 WordPress 后台插件列表。
🔍 **特征**：确认是否安装 **eTemplates** 插件，且版本号 **≤ 0.2.1**。
Q8官方修了吗？（补丁/缓解）
🛡️ **补丁**：官方已发布修复建议。
✅ **行动**：立即升级 eTemplates 插件至**最新版本**（> 0.2.1）。
Q9没补丁咋办？（临时规避）
🚧 **临时规避**：若无法立即升级，建议**暂时禁用**该插件。
🔒 **防护**：配置 WAF 规则，拦截包含 SQL 注入特征的请求。
Q10急不急？（优先级建议）
⚠️ **优先级**：**高**。
🚀 **理由**：CVSS 评分高 (S:C/C:H)，**无需认证**即可远程利用，数据泄露风险极大，需**紧急修复**。