CVE-2025-12882 — 神龙十问 AI 深度分析摘要
CVSS 9.8 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：角色分配逻辑缺陷。 🔥 **后果**：未授权用户可**自提权限**，直接变身管理员，网站控制权旁落。
Q2根本原因？（CWE/缺陷点）
🛡️ **CWE-269**：权限提升。 🔍 **缺陷点**：注册接口未校验 `listing_user_role` 参数，信任了用户输入。
Q3影响谁？（版本/组件）
📦 **组件**：WordPress 插件 **Clasifico Listing**。 📉 **版本**：**2.0 及之前**所有版本均受影响。
Q4黑客能干啥？（权限/数据）
💀 **黑客能力**： 1. 创建**管理员账户**。 2. 完全控制后台。 3. 篡改数据、植入后门、窃取全站信息。
Q5利用门槛高吗？（认证/配置）
🚪 **门槛极低**： ✅ **无需认证**。 ✅ **无需交互**。 只需注册一个新账号，填个参数即可。
Q6有现成Exp吗？（PoC/在野利用）
📜 **PoC**：数据中未提供现成代码。 🌍 **在野**：暂无公开利用报告，但利用逻辑简单，**高危**。
Q7怎么自查？（特征/扫描）
🔎 **自查方法**： 1. 检查插件版本是否 ≤ 2.0。 2. 审计注册接口，看是否直接接收 `listing_user_role` 并赋值。 3. 扫描 WordPress 插件列表。
Q8官方修了吗？（补丁/缓解）
🩹 **补丁状态**：数据未提及官方已发布修复版本。 ⚠️ 需关注 **SmartDataSoft** 官方动态或 WordPress 插件库更新。
Q9没补丁咋办？（临时规避）
🛡️ **临时规避**： 1. **禁用注册**：后台关闭新用户注册功能。 2. **严格审核**：所有新账户需人工审核角色。 3. **WAF 防护**：拦截注册接口的异常角色参数。
Q10急不急？（优先级建议）
🔥 **优先级：P0 (紧急)**。 CVSS **9.8** 满分风险！ 无需登录即可接管网站，建议**立即**采取缓解措施或升级。