CVE-2025-26872 — 神龙十问 AI 深度分析摘要

🚨 **本质**：WordPress 主题 Eximius 存在**无限制上传危险文件**漏洞。 💥 **后果**：攻击者可上传恶意文件，导致**服务器被控**或**数据泄露**。

🛡️ **CWE**：CWE-434（无限制上传危险文件）。 🔍 **缺陷点**：文件上传功能**未严格校验**文件类型，允许上传可执行脚本。

👥 **受影响**：WordPress 主题 **Eximius**。 📦 **版本**：**2.2 及之前**的所有版本。

🔓 **权限**：获得**服务器级权限**（RCE）。 📂 **数据**：可读取/修改网站所有**敏感数据**，植入后门。

🔑 **门槛**：中等。 ⚙️ **条件**：需 **PR:L**（低权限认证），即需要**登录后台**或拥有特定用户权限才能触发上传。

🧪 **Exp**：目前 **无公开 PoC**。 🌍 **在野**：暂无在野利用报告，但风险极高。

🔎 **自查**：检查 WordPress 后台主题列表。 📋 **特征**：确认主题名为 **Eximius**，版本号为 **≤2.2**。

🩹 **补丁**：官方已发布修复建议。 🔗 **来源**：参考 Patchstack 提供的漏洞详情链接进行更新。

🚧 **临时规避**： 1. **升级**主题至最新版本。 2. 若无法升级，**禁用**文件上传功能或限制上传目录执行权限。

⚡ **优先级**：**高**。 💡 **建议**：CVSS 评分极高（H），一旦获得权限后果严重。建议**立即**排查并升级。