CVE-2025-64374 — 神龙十问 AI 深度分析摘要

🚨 **本质**：WordPress Motors 插件存在**任意文件上传**漏洞。 💥 **后果**：攻击者可上传**恶意文件**，导致服务器被完全控制，数据泄露或网站被黑。

🔍 **CWE**：CWE-434（**任意文件上传**）。 🛠️ **缺陷点**：插件未严格校验上传文件的**类型**，允许上传危险格式文件。

📦 **组件**：WordPress 插件 **Motors**。 🏢 **厂商**：StylemixThemes。 📉 **版本**：**5.6.81** 及之前所有版本均受影响。

👑 **权限**：获得**服务器权限**（Web Shell）。 📂 **数据**：可读取/修改所有网站数据，植入后门，甚至横向移动攻击内网。

⚠️ **门槛**：**中等**。 🔐 **认证**：需要**低权限认证**（PR:L）。 🌐 **网络**：远程利用（AV:N）。 👀 **交互**：无需用户交互（UI:N）。

📜 **Exp**：数据中未提供公开 PoC 或**在野利用**报告。 🔎 **现状**：目前仅存在于漏洞数据库中，暂无大规模自动化攻击迹象。

🔍 **自查**：检查 WordPress 后台插件列表。 📋 **特征**：确认是否安装 **Motors** 插件。 📊 **版本**：核对版本号是否 **≤ 5.6.81**。

🛡️ **补丁**：官方已发布修复建议。 ✅ **行动**：立即升级至**最新版本**（> 5.6.81）。 🔗 **参考**：Patchstack 漏洞数据库已收录修复指引。

🚧 **临时规避**：若无法升级，请**禁用**该插件。 🔒 **限制**：严格限制 WordPress 上传目录的**执行权限**。 🛡️ **WAF**：配置 Web 应用防火墙拦截恶意文件上传请求。

🔥 **优先级**：**高**。 📈 **CVSS**：评分极高（C:H/I:H/A:H），影响完整。 ⏳ **建议**：立即修复，防止被自动化脚本扫描利用。