CVE-2026-5722 — 神龙十问 AI 深度分析摘要

🚨 **本质**：身份验证逻辑缺陷。攻击者利用**访客令牌**未随邮箱变更而失效的漏洞，实现**无认证登录**。后果：直接接管用户甚至管理员账户。

🔍 **CWE-287**：身份验证绕过。缺陷点在于：当客户邮箱地址更改时，系统**未撤销或重新生成**访客等待列表的验证令牌，导致旧令牌依然有效。

📦 **受影响组件**：WordPress 插件 **MoreConvert Pro**。所有版本均受影响，包括 **1.9.14 及以下版本**。

💥 **黑客能力**：完全**权限提升**。可冒充任意现有用户，包括**管理员**。可读取/修改所有受保护数据，造成机密性、完整性、可用性全面泄露。

📉 **门槛极低**。无需认证 (PR:N)，无需用户交互 (UI:N)，网络远程即可利用 (AV:N)。攻击流程简单：获取令牌 -> 改邮箱 -> 完成登录。

🚫 **暂无公开 Exp**。数据中 `pocs` 为空，未提及在野利用。但逻辑清晰，编写 PoC 难度低，需警惕后续出现自动化攻击工具。

🔎 **自查方法**：检查 WordPress 插件列表，确认是否安装 **MoreConvert Pro**。若版本 <= 1.9.14，即存在风险。重点监控异常的管理员登录行为。

🛡️ **官方状态**：参考链接指向 changelog 和插件页，但未提供具体修复版本号。建议立即联系厂商或查看最新插件更新日志，确认是否有补丁发布。

⚠️ **临时规避**：若无补丁，建议**暂时禁用**该插件。或限制等待列表功能的访问权限，防止攻击者通过公开流程更改邮箱地址。

🔥 **优先级：极高**。CVSS 评分满分 (10.0)，远程无认证即可获取最高权限。建议**立即**采取行动，优先排查受影响站点。