CVE-2025-6380 — 神龙十问 AI 深度分析摘要

🚨 **本质**：ONLYOFFICE Docs 插件存在**授权缺失**漏洞。 💥 **后果**：攻击者可**绕过身份验证**，以任意用户身份登录系统，导致严重的安全失控。

🔍 **CWE ID**：CWE-862（缺少授权）。 📍 **缺陷点**：插件在处理请求时，未正确校验用户权限，导致**鉴权逻辑失效**。

📦 **组件**：WordPress 插件 ONLYOFFICE Docs。 📏 **版本**：1.1.0 至 2.2.0 版本均受影响。 🏢 **厂商**：onlyoffice。

👤 **权限**：攻击者可**冒充任意用户**。 📂 **数据**：可访问、修改或删除受保护的数据（CVSS 显示 C:H, I:H, A:H）。

🚪 **利用门槛**：**极低**。 🔑 **认证**：无需认证（PR:N）。 🌐 **网络**：网络可访问即可（AV:N）。 ⚡ **复杂度**：低（AC:L）。

📜 **PoC**：当前数据中 **无** 公开 PoC 代码。 🌍 **在野利用**：暂无明确在野利用报告，但鉴于利用难度低，风险极高。

🔎 **自查方法**：检查 WordPress 后台已安装插件。 🔍 **特征**：查看插件名称是否为 **ONLYOFFICE Docs**，版本是否在 **1.1.0 - 2.2.0** 之间。

🛡️ **官方修复**：数据未提供具体补丁版本号。 📢 **建议**：立即访问 WordPress 插件官方页面或厂商站点，升级至**最新安全版本**。

🚧 **临时规避**：若无法立即升级，建议**暂时禁用**该插件。 🔒 **访问控制**：限制插件相关接口的网络访问权限，防止未授权访问。

🔥 **优先级**：**紧急**。 📉 **评分**：CVSS 3.1 基础分极高（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）。 ⚠️ **行动**：需**立即**采取行动修复或隔离。