CVE-2025-1671
— 神龙十问 AI 深度分析摘要
CVSS 9.8 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →
Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：身份验证失效导致**权限提升**。后果：攻击者可绕过正常权限控制，获取管理员级别权限，彻底接管站点。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE-288**：访问控制错误。缺陷点在于插件未正确验证用户身份，导致权限校验逻辑被绕过。
Q3影响谁？（版本/组件）
🎯 **受影响**：WordPress 插件 **Academist Membership**。版本：**1.1.6 及之前版本**。厂商：Elated-Themes。
Q4黑客能干啥？（权限/数据）
💀 **黑客能力**：CVSS 评分极高（H/I/A:H）。可完全**篡改数据**、**泄露敏感信息**，并**破坏系统可用性**，实现全站控制。
Q5利用门槛高吗？（认证/配置）
⚡ **利用门槛**：**极低**。CVSS 向量显示：网络攻击、低复杂度、**无需认证**、无需用户交互。任何人皆可尝试。
Q6有现成Exp吗？（PoC/在野利用）
📦 **Exp/PoC**：当前漏洞数据中 **无现成 PoC** 或公开在野利用记录。但鉴于无需认证，利用脚本极易编写。
Q7怎么自查？（特征/扫描）
🔎 **自查方法**：检查 WordPress 后台已安装插件列表。搜索 **Academist Membership**，确认版本号是否 **≤ 1.1.6**。
Q8官方修了吗？（补丁/缓解）
🛡️ **官方修复**：数据未提供具体补丁链接。建议前往 **ThemeForest** 官方页面或联系厂商 **Elated-Themes** 获取最新安全更新。
Q9没补丁咋办？（临时规避）
🚧 **临时规避**：若无法升级，建议**立即停用**该插件。或配置 WAF 规则，严格限制对插件相关 API 接口的访问。
Q10急不急？（优先级建议）
🔥 **优先级**：**紧急**。无需认证即可提权，危害极大。建议**立即行动**，优先排查并升级受影响实例。