CVE-2021-24146 — 神龙十问 AI 深度分析摘要

🚨 **本质**：访问控制错误。插件未限制导出文件访问。📉 **后果**：未授权用户可导出所有事件数据（CSV/XML），导致**信息泄露**。

🔍 **CWE**：CWE-284（访问控制错误）。🐛 **缺陷**：导出功能缺乏权限校验，任何人都能触发数据导出。

📦 **组件**：WordPress 插件 Modern Events Calendar Lite。📅 **版本**：**5.16.5 之前**的所有版本均受影响。

🕵️ **黑客能力**：无需登录。📂 **窃取数据**：批量导出网站所有**事件数据**，格式为 CSV 或 XML。

🚪 **门槛**：**极低**。无需认证（Unauthenticated），无需特殊配置，直接访问即可利用。

🧪 **Exp/PoC**：有。ProjectDiscovery nuclei 模板已收录。🌐 **在野**：参考 PacketStorm 记录，存在利用案例。

🔎 **自查**：扫描插件版本。📝 **特征**：尝试访问导出接口，看是否返回 CSV/XML 数据且无需登录。

🛡️ **补丁**：已修复。📥 **方案**：升级插件至 **5.16.5 或更高版本**。

⚠️ **临时规避**：若无补丁，需手动**限制导出功能**的访问权限，或暂时禁用该插件。

🔥 **优先级**：**高**。因无需认证且数据敏感，建议**立即**升级修复，防止数据大规模泄露。