CVE-2025-30996 — 神龙十问 AI 深度分析摘要

🚨 **本质**：WordPress 多款主题/插件存在**危险文件上传无限制**漏洞。 💥 **后果**：攻击者可向 Web 服务器上传 **Web 脚本**（Webshell），直接控制网站。

🔍 **CWE**：CWE-434（**不受限制的文件上传**）。 🐛 **缺陷**：代码未对上传文件的类型、内容进行严格校验，允许执行文件上传。

📦 **受影响产品**： • **Themify Sidepane** (≤ 1.9.8) • **Photobox** (2.0.1) • **Rezo** (1.9.7) • **Newsy** (1.9.9) • **Wigi** (2.0.1) *(均为 WordPress 主题/插件)*

👑 **黑客权限**： • **完全控制**：通过 Webshell 执行任意命令。 • **数据泄露**：窃取数据库、用户信息。 • **横向移动**：以 Web 服务器身份进一步渗透内网。 • **破坏**：篡改页面、植入恶意代码。

⚠️ **利用门槛**：**中等**。 • **认证要求**：CVSS 显示需 **PR:L** (低权限认证)，通常需登录后台或拥有编辑权限。 • **配置**：无需特殊配置，利用简单。

🧪 **Exp/PoC**：当前数据中 **pocs 为空**，暂无公开现成 Exp。 🌍 **在野利用**：数据未提及在野利用情况，但漏洞原理经典，风险极高。

🔎 **自查方法**： 1. 检查 WordPress 后台已安装主题/插件列表。 2. 核对版本是否在上述 **受影响版本** 范围内。 3. 扫描上传接口是否返回异常或允许 .php/.exe 等可执行文件。

🛡️ **官方修复**： • 参考链接指向 Patchstack 数据库，通常厂商会发布更新。 • **建议**：立即升级至 **最新版本** 以修复此代码问题。

🚧 **临时规避**： 1. **禁用上传**：在 wp-config.php 或服务器配置中限制文件上传功能。 2. **权限最小化**：确保 Web 用户无写入执行权限。 3. **WAF 防护**：拦截包含 PHP 代码的上传请求。

🔥 **优先级**：**高**。 • CVSS 评分高 (AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H)。 • 直接导致 **服务器被控**。 • **行动**：立即排查并升级受影响的主题/插件！