CVE-2025-58996 — 神龙十问 AI 深度分析摘要

🚨 **本质**：文件上传漏洞。允许上传危险类型文件。💥 **后果**：可能导致 **Web Shell** 被上传，服务器彻底沦陷。

🔍 **CWE**：CWE-434（危险文件上传）。🐛 **缺陷**：未严格校验文件类型，放行高危文件。

🎯 **组件**：WordPress Plugin **Advanced Settings**。📦 **版本**：3.1.1 及之前所有版本。

👮 **权限**：攻击者可获取 **服务器控制权**。📂 **数据**：任意读取/修改网站数据，甚至横向渗透内网。

🔑 **门槛**：需 **PR:H** (High Privileges)。⚠️ 攻击者需具备 **认证权限** 才能触发利用。

📄 **Exp**：暂无公开 PoC。🌍 **在野**：数据未显示在野利用，但风险极高。

🔎 **自查**：检查 WP 后台是否安装 **Advanced Settings** 插件。📉 **版本**：确认版本号是否 ≤ 3.1.1。

🛡️ **补丁**：官方未提供具体补丁链接。💡 **建议**：参考 Patchstack 链接，通常需等待开发者更新或手动修复。

🚧 **规避**：立即 **停用/卸载** 该插件。🔒 **限制**：严格限制上传目录执行权限，禁止 PHP 执行。

🔥 **优先级**：**高**。CVSS 评分全 H (High)。虽需认证，但后果致命，建议 **立即处理**。