CVE-2025-2004 — 神龙十问 AI 深度分析摘要
CVSS 9.1 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：任意文件删除漏洞。 💥 **后果**：攻击者可删除服务器上的**任意文件**，导致服务中断或数据丢失。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE**：CWE-73（外部控制文件路径）。 🐛 **缺陷**：插件未正确验证用户提供的文件路径，导致路径遍历或非法删除。
Q3影响谁？（版本/组件）
📦 **组件**：WordPress 插件 **Simple WP Events**。 🏢 **厂商**：wpminds。 📅 **版本**：**1.8.17** 及之前所有版本。
Q4黑客能干啥？（权限/数据）
🔓 **权限**：无需认证（PR:N）。 🗑️ **能力**：直接**删除任意文件**。 📉 **影响**：完整性（I:H）和可用性（A:H）严重受损，但当前未提及直接读取机密数据（C:N）。
Q5利用门槛高吗？（认证/配置）
⚡ **门槛**：极低。 🌐 **网络**：远程（AV:N）。 🔑 **认证**：无需权限（PR:N）。 👀 **交互**：无需用户交互（UI:N）。 📊 **CVSS**：高危（向量显示 AC:L, S:U）。
Q6有现成Exp吗？（PoC/在野利用）
🚫 **PoC**：漏洞数据中 **pocs** 字段为空，暂无公开现成代码。 👀 **在野**：数据未提及在野利用情况，但鉴于无需认证，风险极高。
Q7怎么自查？（特征/扫描）
🔎 **自查**：检查 WordPress 插件列表。 🔍 **特征**：确认是否安装 **Simple WP Events**。 📌 **版本**：核对版本号是否 **≤ 1.8.17**。
Q8官方修了吗？（补丁/缓解）
🛡️ **补丁**：官方已发布修复。 🔗 **参考**：见 WordPress Trac Changeset 3280966。 ✅ **建议**：立即升级至修复后的最新版本。
Q9没补丁咋办？（临时规避）
🛑 **临时规避**：若无法立即升级，建议**暂时禁用**该插件。 🚫 **限制**：移除插件功能或限制访问权限，防止攻击者触发删除逻辑。
Q10急不急？（优先级建议）
🔥 **优先级**：**紧急**。 ⚠️ **理由**：CVSS 评分高，**无需认证**即可远程执行高危操作（删除文件），对网站稳定性威胁极大。