CVE-2025-47539 — 神龙十问 AI 深度分析摘要
CVSS 9.8 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：权限分配不当（Missing Authorization）。 🔥 **后果**：未授权攻击者可提升权限，导致**网站完全沦陷**。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE**：CWE-266（权限分配不当）。 📍 **缺陷点**：REST API 端点 `import_items()` 缺少权限检查。
Q3影响谁？（版本/组件）
📦 **组件**：WordPress 插件 **Eventin**。 📉 **版本**：4.0.26 及更早版本。
Q4黑客能干啥？（权限/数据）
👑 **黑客能力**：无需认证即可创建任意角色用户（含 **Administrator**）。 💾 **数据风险**：完全控制站点，读写所有数据。
Q5利用门槛高吗？（认证/配置）
🚪 **利用门槛**：**极低**。 ✅ **认证**：无需登录（Unauthenticated）。 🌐 **网络**：远程利用（AV:N）。
Q6有现成Exp吗？（PoC/在野利用）
🧪 **PoC**：有现成利用代码。 🔗 **来源**：GitHub 上已有多个 Exploit 脚本（如 Nxploited/snapdowgg）。
Q7怎么自查？（特征/扫描）
🔎 **自查方法**：扫描 REST API 端点 `import_items`。 🛠️ **工具**：使用 Nuclei 模板或专门针对 Eventin 的扫描器。
Q8官方修了吗？（补丁/缓解）
🛡️ **补丁状态**：官方已修复。 🔄 **版本**：升级至 **4.0.27** 或更高版本。
Q9没补丁咋办？（临时规避）
⚠️ **临时规避**：若无补丁，需严格限制 REST API 访问权限。 🚫 **建议**：暂时禁用该插件或限制管理员接口访问。
Q10急不急？（优先级建议）
🔥 **优先级**：**极高**（CVSS 9.8 危急）。 ⏳ **行动**：立即升级插件，防止被自动化脚本攻击。