CVE-2025-28893 — 神龙十问 AI 深度分析摘要
CVSS 9.9 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：代码注入漏洞（代码生成控制不当）。<br>🔥 **后果**：可能导致**远程代码包含**，严重威胁系统安全。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE**：CWE-94（代码注入）。<br>📍 **缺陷点**：代码生成逻辑存在缺陷，未对输入或生成过程进行严格校验。
Q3影响谁？（版本/组件）
📦 **组件**：WordPress 插件 **Visual Text Editor**。<br>👤 **厂商**：Govind。<br>📉 **版本**：**1.2.1 及之前版本**均受影响。
Q4黑客能干啥？（权限/数据）
💀 **权限**：攻击者可获取高权限。<br>📊 **数据**：CVSS 评分显示 **C:H, I:H, A:H**，意味着机密性、完整性和可用性均遭受**高危**影响，可能完全控制服务器。
Q5利用门槛高吗？（认证/配置）
🔑 **门槛**：**中等**。<br>⚠️ **要求**：需要 **PR:L**（低权限认证），即攻击者需具备 WordPress 的低级账户权限才能利用。
Q6有现成Exp吗？（PoC/在野利用）
🧪 **Exp**：数据中 **pocs 为空**，暂无公开 PoC。<br>🌍 **在野**：未提及在野利用情况，但漏洞库已有记录。
Q7怎么自查？（特征/扫描）
🔎 **自查**：检查 WordPress 插件列表。<br>🔍 **特征**：确认是否安装 **Visual Text Editor** 且版本 **≤ 1.2.1**。
Q8官方修了吗？（补丁/缓解）
🛡️ **补丁**：官方已发布安全公告（2025-03-26）。<br>✅ **建议**：立即升级至**修复后的最新版本**。
Q9没补丁咋办？（临时规避）
🚧 **临时规避**：若无补丁，建议**禁用或删除**该插件。<br>🔒 **限制**：严格控制低权限用户访问，防止触发注入点。
Q10急不急？（优先级建议）
⚡ **优先级**：**高**。<br>📈 **理由**：CVSS 向量显示 **AV:N**（网络可攻击）且 **AC:L**（攻击简单），虽需低权限，但危害极大，需**紧急处理**。