CVE-2025-39402 — 神龙十问 AI 深度分析摘要

🚨 **本质**：WPAMS 插件允许上传**危险类型文件**。 💥 **后果**：攻击者可上传 **WebShell**，直接控制网站。

🔍 **CWE**：CWE-434（**任意文件上传**）。 📍 **缺陷点**：缺乏对上传文件类型的**严格校验**，未过滤危险扩展名。

🏢 **厂商**：mojoomla。 📦 **产品**：WordPress 插件 **WPAMS**。 📉 **版本**：**44.0 及之前版本**。

🔓 **权限**：获取服务器**完全控制权**（CVSS A:H）。 📂 **数据**：可窃取所有网站数据（CVSS C:H/I:H）。 🌐 **范围**：影响范围扩大至系统其他部分（CVSS S:C）。

🔑 **认证**：需要 **PR:L**（低权限认证）。 🖱️ **交互**：**UI:N**（无需用户交互）。 🌐 **网络**：**AV:N**（网络远程利用）。 ⚖️ **难度**：**AC:L**（攻击复杂度低），门槛不高。

📜 **PoC**：数据中 **pocs** 字段为空，暂无公开代码。 🌍 **在野**：参考链接指向 Patchstack 数据库，未明确提及大规模在野利用。

🔎 **自查**：检查 WordPress 后台是否安装 **WPAMS** 插件。 📋 **版本**：确认版本号是否 **≤ 44.0**。 🛡️ **扫描**：使用 WAF 或扫描器检测**文件上传接口**的异常请求。

🔧 **补丁**：参考链接暗示存在修复版本（提及 17-08-2023 的修复公告）。 ✅ **建议**：升级至**最新安全版本**以修复任意文件上传漏洞。

🚫 **临时规避**：在 `.htaccess` 或 Nginx 配置中**禁止上传目录执行 PHP**。 🛡️ **WAF**：配置规则拦截包含 `<?php` 或危险扩展名的上传请求。 🔒 **权限**：严格限制上传目录的**写入和执行权限**。

⚡ **优先级**：**极高**。 📊 **评分**：CVSS **9.8**（Critical）。 🚀 **行动**：立即升级插件或实施临时缓解措施，防止 WebShell 植入。