CVE-2025-8900 — 神龙十问 AI 深度分析摘要
CVSS 9.8 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：角色分配失控。用户注册时能**自定义角色**。后果：普通用户变管理员，站点沦陷。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE-269**：权限提升缺陷。核心bug在于**未校验**用户自设角色的合法性，直接写入数据库。
Q3影响谁？（版本/组件）
🛡️ **受影响**：WordPress插件 **Doccure Core**。版本：**1.5.4之前**的所有版本。厂商：dreamstechnologies。
Q4黑客能干啥？（权限/数据）
💥 **黑客能力**：获取**最高权限**。可读取/篡改所有数据，植入后门，完全控制网站后台。
Q5利用门槛高吗？（认证/配置）
⚡ **门槛极低**：无需认证（PR:N）。公开注册即可利用，无需复杂配置，**一键**提权。
Q6有现成Exp吗？（PoC/在野利用）
📦 **无现成Exp**：数据中 **pocs** 为空。暂无公开利用代码，但逻辑简单，编写容易。
Q7怎么自查？（特征/扫描）
🔎 **自查方法**：检查插件版本是否 < 1.5.4。注册测试账号，看能否在个人资料页**选择角色**。
Q8官方修了吗？（补丁/缓解）
🛠️ **官方修复**：需升级至 **1.5.4或更高版本**。参考Wordfence和ThemeForest页面获取补丁。
Q9没补丁咋办？（临时规避）
🚧 **临时规避**：若无法升级，**禁用注册功能**或强制所有新用户为“订阅者”。手动审核角色分配。
Q10急不急？（优先级建议）
🔥 **优先级：极高**。CVSS **9.1**（危急）。无需登录即可利用，建议**立即**排查并升级。