CVE-2025-1475
— 神龙十问 AI 深度分析摘要
CVSS 9.8 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →
Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：WPCOM Member 插件登录接口存在**授权逻辑缺陷**。
💥 **后果**：攻击者可绕过正常认证流程，**直接冒充**任何现有用户登录系统。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE-287**：身份验证不当。
📍 **缺陷点**：登录时的 `user_phone` 参数**验证不足**，缺乏严格的权限校验机制。
Q3影响谁？（版本/组件）
📦 **产品**：WordPress 插件 WPCOM Member。
🏢 **厂商**：whyun。
📉 **版本**：**1.7.5 及之前**的所有版本均受影响。
Q4黑客能干啥？（权限/数据）
👤 **权限**：获得**任意现有用户**的身份权限。
🔓 **数据**：可访问该用户的所有**私有数据**、设置及操作权限，完全接管账户。
Q5利用门槛高吗？（认证/配置）
⚡ **门槛极低**。
🚫 **无需认证**：攻击者无需知道原密码。
🌐 **无需交互**：无需用户点击或配合。
📡 **远程利用**：通过网络直接发起攻击。
Q6有现成Exp吗？（PoC/在野利用）
📜 **PoC**：漏洞数据中未提供公开 PoC。
🌍 **在野利用**：暂无明确在野利用报告。
🔗 **参考**：可查阅 WordPress Trac 变更集或 Wordfence 情报。
Q7怎么自查？（特征/扫描）
🔎 **特征**：检查登录接口中 `user_phone` 参数的处理逻辑。
🛠 **扫描**：使用 WAF 或漏洞扫描器检测针对该插件的异常登录请求。
📂 **路径**：关注 `includes/form-validation.php` 相关代码段。
Q8官方修了吗？（补丁/缓解）
🛡️ **官方修复**：已发布修复版本（参考 WordPress Trac 变更集 3248208）。
✅ **建议**：立即升级至 **1.7.6 或更高版本**以修复此问题。
Q9没补丁咋办？（临时规避）
🚧 **临时规避**：若无法立即升级，建议**暂时禁用**该插件。
🔒 **限制**：严格限制登录接口的访问 IP，或启用额外的 MFA（多因素认证）层。
Q10急不急？（优先级建议）
🔥 **优先级：高**。
📈 **CVSS 评分**：**9.8 (Critical)**。
⚠️ **风险**：CVSS 向量显示 C:H/I:H/A:H（机密性/完整性/可用性均为高），意味着**全权沦陷**风险极大，需**立即处理**。