CVE-2026-5118
— 神龙十问 AI 深度分析摘要
CVSS 9.8 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →
Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：角色参数未验证。攻击者传入自定义角色，绕过默认设置。后果：直接创建管理员账户，彻底沦陷。
Q2根本原因？（CWE/缺陷点）
🛡️ **CWE-285**：不正确的授权。缺陷点：代码接受用户控制的角色参数，却未校验其是否符合系统默认用户角色设置。
Q3影响谁？（版本/组件）
📦 **受影响**：WordPress插件 **Divi Form Builder**。版本：**5.1.2及之前**所有版本。
Q4黑客能干啥？（权限/数据）
💀 **黑客能力**：无需登录（未授权）。可创建拥有最高权限的**管理员账户**，完全控制网站。
Q5利用门槛高吗？（认证/配置）
📉 **门槛极低**：无需认证（PR:N），无需用户交互（UI:N）。网络远程即可利用，攻击复杂度低（AC:L）。
Q6有现成Exp吗？（PoC/在野利用）
🔍 **现状**：数据中未提供现成Exp或PoC。但鉴于CVSS评分极高（9.8），在野利用风险极大，需警惕。
Q7怎么自查？（特征/扫描）
🔎 **自查**：检查WordPress后台插件列表，确认是否安装 **Divi Form Builder**，且版本号 **≤ 5.1.2**。
Q8官方修了吗？（补丁/缓解）
🔧 **修复**：参考官方Changelog链接，通常需升级至 **5.1.3或更高版本**以修复此逻辑缺陷。
Q9没补丁咋办？（临时规避）
⚠️ **临时规避**：若无补丁，建议**立即禁用**该插件。或限制插件目录权限，阻断未授权访问路径。
Q10急不急？（优先级建议）
🔥 **优先级：紧急**！ CVSS 9.8分，直接导致管理员权限丢失。建议**立即升级**或停用插件，勿拖延。