CVE-2025-5288 — 神龙十问 AI 深度分析摘要
CVSS 9.8 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：权限缺失导致未授权访问。 💥 **后果**：攻击者可创建**管理员账户**，完全接管网站。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE-862**：缺少必要的**能力检查**（Capability Check）。 📍 **缺陷点**：`process_handler()` 函数未验证用户权限。
Q3影响谁？（版本/组件）
📦 **组件**：WordPress 插件 `REST API | Custom API Generator`。 🏷️ **厂商**：weboccults。 📅 **版本**：1.0.0 至 2.0.3。
Q4黑客能干啥？（权限/数据）
👑 **权限**：未授权**权限提升**（Privilege Escalation）。 📊 **数据**：可创建**Administrator**角色，获取最高控制权。
Q5利用门槛高吗？（认证/配置）
🚪 **门槛**：**极低**。 🔓 **认证**：**无需认证**（Unauthenticated）。 🌐 **网络**：远程利用（AV:N）。
Q6有现成Exp吗？（PoC/在野利用）
💻 **PoC**：已有现成利用代码。 🔗 **来源**：GitHub (Nxploited/CVE-2025-5288)。 📝 **方式**：上传特制 `user.json` 文件。
Q7怎么自查？（特征/扫描）
🔎 **自查**：检查是否安装该插件。 📂 **路径**：关注 `backend/methods/wot-rapi-import-functions.php`。 📡 **扫描**：检测未授权访问 `/wp-json/` 相关端点。
Q8官方修了吗？（补丁/缓解）
🛡️ **补丁**：需升级至**2.0.3以上**版本。 📢 **状态**：官方已发布安全通告，建议立即更新。
Q9没补丁咋办？（临时规避）
⚠️ **规避**：若无补丁，需**手动添加权限检查**。 🚫 **限制**：在代码中强制校验 `process_handler` 的调用者权限。
Q10急不急？（优先级建议）
🔥 **优先级**：**极高**（CVSS 9.8）。 🚨 **建议**：立即更新插件或下线该功能，防止被**一键接管**。