CVE-2025-1315 — 神龙十问 AI 深度分析摘要
CVSS 9.8 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：InWave Jobs 插件存在**身份验证绕过**漏洞。 💥 **后果**：未认证攻击者可**重置任意用户密码**，直接接管账号。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE-288**：身份验证绕过。 🛑 **缺陷点**：密码重置流程中，**未正确验证用户身份**，导致验证逻辑失效。
Q3影响谁？（版本/组件）
📦 **组件**：WordPress 插件 **InWave Jobs**。 📉 **版本**：**3.5.1 及之前**所有版本均受影响。
Q4黑客能干啥？（权限/数据）
🔑 **权限**：获取**任意用户**（包括管理员）的访问权限。 📂 **数据**：完全控制受影响账户，可能导致**数据泄露**或网站被黑。
Q5利用门槛高吗？（认证/配置）
📶 **认证**：**无需认证**（PR:N）。 🎯 **配置**：攻击复杂度低（AC:L），无需用户交互（UI:N），远程即可利用。
Q6有现成Exp吗？（PoC/在野利用）
🧪 **PoC**：当前数据中 **无现成 Exp/PoC** 列表。 🌍 **在野**：暂无明确在野利用报告，但风险极高，需警惕。
Q7怎么自查？（特征/扫描）
🔎 **自查**：检查 WordPress 后台插件列表。 📋 **特征**：确认是否安装 **InWave Jobs** 且版本 **≤ 3.5.1**。
Q8官方修了吗？（补丁/缓解）
🛡️ **补丁**：参考 **Wordfence** 和 **ThemeForest** 官方链接。 ✅ **建议**：立即联系供应商 **sfwebservice** 获取修复版本或更新插件。
Q9没补丁咋办？（临时规避）
⚠️ **规避**：若无补丁，建议**暂时禁用**该插件。 🔒 **限制**：限制网站注册功能或加强密码策略作为临时缓解措施。
Q10急不急？（优先级建议）
🔥 **优先级**：**紧急**（CVSS 9.8 高危）。 🚀 **行动**：立即更新插件或采取临时缓解措施，防止账号被接管。