CVE-2020-36728 — 神龙十问 AI 深度分析摘要

🚨 **本质**：路径遍历漏洞 (Path Traversal)。 💥 **后果**：攻击者可利用此漏洞**删除服务器文件**，导致网站数据丢失或服务中断。

🔍 **CWE ID**：CWE-22 (路径遍历)。 📍 **缺陷点**：插件未对用户输入的路径进行严格校验，允许访问受限目录。

📦 **组件**：WordPress Plugin **Adning Advertising**。 👤 **厂商**：tunafish。 📉 **版本**：低于 **1.5.6** 的版本均受影响。

🔓 **权限**：无需认证 (PR:N)。 📂 **数据**：可**删除任意文件** (I:L)，造成完整性破坏。 ⚠️ **注意**：CVSS评分显示无机密性泄露 (C:L) 和可用性影响 (A:N)，但文件删除本身即高危。

🚪 **门槛**：**极低**。 🔑 **认证**：无需登录 (PR:N)。 🖱️ **交互**：无需用户交互 (UI:N)。 🌐 **网络**：网络可攻击 (AV:N)。 🎯 **复杂度**：低 (AC:L)。

🧪 **PoC**：有现成模板 (Nuclei Templates)。 🌍 **在野**：参考链接显示该漏洞在野外**被积极利用** (actively exploited)。 🔗 **来源**：Wordfence 和 Nintechnet 均有报道。

🔎 **自查**：检查 WordPress 插件列表。 📋 **特征**：查找名为 **Adning Advertising** 的插件。 📊 **版本**：确认版本号是否 **< 1.5.6**。

🛠️ **补丁**：官方已发布修复。 ✅ **方案**：升级插件至 **1.5.6** 或更高版本。 📖 **详情**：参考 Wordfence 博客文章获取补丁信息。

🚧 **临时规避**：若无法立即升级，建议**暂时禁用**该插件。 🔒 **限制**：检查服务器文件权限，防止非授权删除操作。 📝 **监控**：密切监控服务器日志中的异常文件删除行为。

⚡ **优先级**：**高**。 🚨 **理由**：无需认证、利用简单、且在野已有利用案例。 💡 **建议**：立即升级或禁用插件，避免被黑客利用删除关键文件。