CVE-2025-4603 — 神龙十问 AI 深度分析摘要
CVSS 9.1 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：任意文件删除漏洞。 🔥 **后果**：攻击者可删除服务器上的任意文件，导致网站崩溃或数据永久丢失。 💥 **核心**：`delete_file` 函数缺乏路径验证。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE**：CWE-73 (外部控制文件路径)。 🐛 **缺陷**：`delete_file` 函数对文件路径验证不足。 ⚠️ **根源**：未严格校验输入路径，导致可指向非预期目录。
Q3影响谁？（版本/组件）
📦 **产品**：eMagicOne Store Manager for WooCommerce。 🏢 **厂商**：emagicone。 📉 **版本**：1.2.5 及之前所有版本。
Q4黑客能干啥？（权限/数据）
🗑️ **能力**：删除 WordPress 根目录或任意位置的任意文件。 🚫 **影响**：高完整性 (I:H) 和高可用性 (A:H) 影响。 💀 **结果**：网站服务中断，核心文件被毁。
Q5利用门槛高吗？（认证/配置）
🔓 **认证**：低门槛。 🔑 **机制**：依赖默认凭证 (`login=1`, `password=1`)。 ⚠️ **条件**：若管理员未修改默认密码，攻击者可直接认证并获取 Session Key。
Q6有现成Exp吗？（PoC/在野利用）
💻 **PoC**：有现成代码。 🔗 **来源**：GitHub (d0n601/CVE-2025-4603)。 📝 **描述**：Unauthenticated Arbitrary File Deletion (未授权任意文件删除)。
Q7怎么自查？（特征/扫描）
🕵️ **特征**：访问 `?connector=bridge` 端点。 🔎 **检测**：扫描是否存在默认凭证登录逻辑。 📡 **探针**：尝试使用 `login=1/password=1` 获取 Session Key 并测试文件删除。
Q8官方修了吗？（补丁/缓解）
🛠️ **修复**：官方已发布修复版本 (Changeset 3308544)。 📅 **时间**：2025-05-24 公布。 ✅ **建议**：立即升级至最新版本。
Q9没补丁咋办？（临时规避）
🛡️ **临时方案**：强制修改默认登录凭证。 🚫 **限制**：禁用或限制 `?connector=bridge` 端点访问。 🔒 **网络**：限制插件相关接口的 IP 访问权限。
Q10急不急？（优先级建议）
🔴 **优先级**：高。 ⚡ **紧急度**：CVSS 评分高 (AV:N/AC:L/PR:N/S:U/C:N/I:H/A:H)。 🏃 **行动**：立即检查版本并升级，或修改默认密码。