CVE-2015-6668 — 神龙十问 AI 深度分析摘要

🚨 **本质**：WordPress Job Manager 插件存在安全漏洞。 💥 **后果**：远程攻击者可利用**暴力破解**手段，读取任意的 **CV 文件**（简历/个人信息）。

🔍 **缺陷点**：插件未对 CV 文件访问进行有效权限控制或验证。 ⚠️ **CWE**：数据中未提供具体 CWE 编号，但属于典型的**敏感信息泄露**风险。

📦 **组件**：WordPress **Job Manager** 插件。 📉 **版本**：**0.7.25 之前**的所有版本均受影响。

🕵️ **黑客能力**：无需特殊权限，远程即可操作。 📄 **获取数据**：通过暴力猜测文件名，下载用户的 **CV 文件**，导致**个人隐私泄露**。

🚪 **利用门槛**：**低**。 🔑 **认证**：无需登录认证。 ⚙️ **配置**：依赖文件名猜测（暴力破解），技术门槛极低。

💻 **现成 Exp**：**有**。 🔗 **PoC**：GitHub 上存在多个公开 PoC 脚本（如 `G01d3nW01f`, `crypticdante` 等仓库），可直接复现漏洞。

🔎 **自查方法**： 1. 检查 WP 插件列表，确认是否安装 **Job Manager**。 2. 确认版本是否 **< 0.7.25**。 3. 扫描是否存在可枚举的 CV 文件路径。

🛡️ **官方修复**：数据中未提供具体补丁链接，但明确指出 **0.7.25 及之后版本**已修复。 ✅ **建议**：立即升级至 **0.7.25 或更高版本**。

🚧 **临时规避**： 1. **禁用**该插件（如非必要）。 2. 限制 `/wp-content/uploads/job-manager-cv/` 目录的访问权限。 3. 使用 WAF 拦截暴力枚举请求。

⚡ **优先级**：**中高**。 📢 **理由**：涉及**个人隐私数据（CV）泄露**，且利用工具公开，攻击成本低。建议尽快升级或加固。