CVE-2025-32652 — 神龙十问 AI 深度分析摘要

🚨 **本质**：文件上传功能存在严重缺陷，未限制危险文件类型。 💥 **后果**：攻击者可上传恶意文件，直接导致**服务器被控**或**数据泄露**。

🔍 **CWE-434**：无限制的文件上传。 🐛 **缺陷点**：插件未对上传文件的类型进行有效校验，允许上传可执行脚本。

🎯 **组件**：WordPress 插件 **Solace Extra**。 📦 **版本**：**1.3.1** 及之前所有版本均受影响。

🔓 **权限**：获得服务器**完全控制权**（RCE）。 📂 **数据**：可读取/篡改网站所有数据，植入后门。

⚠️ **门槛**：中等。 🔑 **认证**：需要**低权限用户**（PR:L）即可触发，无需管理员权限。

📄 **Exp**：暂无公开 PoC 或确切的在野利用报告。 🔎 **来源**：参考 Patchstack 数据库条目。

🔎 **自查**：检查 WordPress 后台插件列表。 🔍 **特征**：确认是否安装 **Solace Extra** 且版本 **≤ 1.3.1**。

🛡️ **补丁**：官方已发布修复建议。 🔗 **链接**：参考 Patchstack 提供的漏洞详情页获取更新指引。

🚧 **临时规避**： 1. 立即**停用**该插件。 2. 若必须使用，严格限制上传目录权限，禁止执行 PHP。

🔥 **优先级**：**紧急**。 💡 **理由**：CVSS 评分极高（H），利用简单，直接危及服务器安全，建议**立即升级**。