CVE-2025-47579 — 神龙十问 AI 深度分析摘要

🚨 **本质**：反序列化不可信数据导致的 **PHP对象注入**。后果：攻击者可执行任意代码，完全控制站点。

🔍 **CWE-502**：反序列化漏洞。缺陷点在于处理 **不可信输入** 时未做安全校验，直接反序列化。

🛡️ **受影响**：WordPress 插件 **Photography**。版本：**7.5.2 及之前**。厂商：ThemeGoods。

💥 **黑客能力**：远程执行代码 (RCE)。可窃取数据、篡改页面、植入后门，拥有 **高权限**。

📉 **门槛低**：CVSS 显示 **无需认证** (PR:N)，无需用户交互 (UI:N)。网络可访问即可利用。

📦 **PoC状态**：数据中 **pocs 为空**。暂无公开现成 Exp，但漏洞原理明确，利用风险高。

🔎 **自查方法**：检查 WP 后台插件列表。确认是否安装 **Photography** 且版本 **≤ 7.5.2**。

🔧 **补丁情况**：数据未提供具体补丁链接。建议访问 **Patchstack** 或厂商官网获取最新修复版本。

🚧 **临时规避**：若无法升级，建议 **暂时禁用** 该插件。或配置 WAF 拦截可疑的反序列化载荷。

⚡ **优先级**：**高**。CVSS 评分高 (AV:N/PR:N)，无需权限即可远程利用，建议 **立即修复**。