CVE-2025-32583
— 神龙十问 AI 深度分析摘要
CVSS 9.9 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →
Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：代码生成控制不当导致的**远程代码包含 (RCE)**。
💥 **后果**：攻击者可执行任意代码，完全接管服务器。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE-94**：代码生成控制不当。
📍 **缺陷点**：插件未正确过滤/验证用户上传的文件内容，导致恶意代码被生成并执行。
Q3影响谁？（版本/组件）
📦 **组件**：WordPress Plugin **PDF 2 Post**。
🏢 **厂商**：termel。
📅 **版本**：**2.4.0 及之前版本** (<= 2.4.0)。
Q4黑客能干啥？（权限/数据）
🔓 **权限**：低权限用户（如 Subscriber）即可利用。
📊 **数据**：高机密性 (C:H)、高完整性 (I:H)、高可用性 (A:H) 影响。
💻 **能力**：远程代码执行，获取服务器控制权。
Q5利用门槛高吗？（认证/配置）
⚠️ **门槛低**。
🔑 **认证**：需要**认证用户**（即使是最低权限）。无需 UI 交互。
🌐 **网络**：远程利用 (AV:N)。
Q6有现成Exp吗？（PoC/在野利用）
📂 **有 PoC**。
🔗 GitHub 上已有多个利用代码（如 Nxploited, GadaLuBau1337 发布的 Exploit）。
🚀 **状态**：公开可用，利用风险极高。
Q7怎么自查？（特征/扫描）
🔎 **自查特征**：
1. 检查 WordPress 是否安装 **PDF 2 Post** 插件。
2. 确认版本是否 **<= 2.4.0**。
3. 扫描日志中是否有异常的 `.zip` 上传及 PHP 文件提取行为。
Q8官方修了吗？（补丁/缓解）
🛡️ **官方修复**：数据未提供具体补丁链接，但指出存在漏洞。
💡 **建议**：立即联系厂商 termel 获取更新版本或参考 Patchstack 等安全数据库的缓解措施。
Q9没补丁咋办？（临时规避）
🚫 **临时规避**：
1. **禁用/卸载**该插件。
2. 限制**认证用户**的文件上传权限。
3. 配置 WAF 拦截包含 PHP 代码的 ZIP 上传请求。
Q10急不急？（优先级建议）
🔥 **优先级：极高 (CRITICAL)**。
📉 **CVSS 9.9**。
⚡ **行动**：由于 PoC 公开且利用门槛低，需**立即**处置，否则服务器面临被完全控制的极高风险。