CVE-2025-49447 — 神龙十问 AI 深度分析摘要
CVSS 10.0 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：文件上传限制缺失。后果：攻击者可上传**恶意文件**，导致服务器被完全控制。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE-434**：无限制的文件上传。缺陷点：未对上传文件的**类型**进行严格校验。
Q3影响谁？（版本/组件）
🛡️ **受影响**：WordPress 插件 **FW Food Menu**。版本：**6.0.0 及之前**所有版本。
Q4黑客能干啥？（权限/数据）
💥 **权限**：最高权限（CVSS A:H）。**数据**：完全泄露（C:H）。可执行任意代码，接管站点。
Q5利用门槛高吗？（认证/配置）
📉 **门槛极低**。CVSS 显示无需认证（PR:N）、无需用户交互（UI:N），远程直接利用。
Q6有现成Exp吗？（PoC/在野利用）
⚠️ **数据缺失**。提供的参考链接指向 Patchstack，但 **PoCs 列表为空**，暂无公开利用代码。
Q7怎么自查？（特征/扫描）
🔎 **自查**：检查 WP 后台插件列表。若存在 **FW Food Menu** 且版本 ≤ 6.0.0，即中招。
Q8官方修了吗？（补丁/缓解）
🛠️ **修复**：官方未提供直接补丁链接。需参考 Patchstack 链接获取**缓解措施**或更新指引。
Q9没补丁咋办？（临时规避）
🚧 **临时规避**：立即**停用**或**卸载**该插件。若必须用，限制上传目录执行权限，手动校验文件后缀。
Q10急不急？（优先级建议）
🔥 **优先级：极高**。CVSS 满分风险，无认证即可利用。建议**立即**升级或停用，防止被自动化扫描攻击。