CVE-2021-24472 — 神龙十问 AI 深度分析摘要

🚨 **本质**：插件暴露了未受控的代理功能。 💥 **后果**：攻击者可利用该代理从任意URI抓取并显示内容，导致 **SSRF** 和 **RFI** 风险。

🔍 **CWE**：CWE-918 (Server-Side Request Forgery)。 🔧 **缺陷**：插件代码未对代理请求的目标URI进行严格校验，直接转发给Web服务器。

📦 **受影响组件**： 1. **OnAir2** WordPress主题 (版本 < 3.9.9.2) 2. **QT KenthaRadio** WordPress插件 (版本 < 2.0.2) 🏢 **厂商**：QantumThemes

🕵️ **黑客能力**： - **SSRF**：让服务器访问内网资源或外部恶意站点。 - **RFI**：远程文件包含，可能执行恶意代码。 - **数据泄露**：读取服务器可访问的任何URI内容。

🔓 **门槛**：**极低**。 - **无需认证**：漏洞面向未经身份验证的用户。 - **无需配置**：只要插件/主题版本低于指定版本即可触发。

📜 **Exp/PoC**： - **有现成模板**：ProjectDiscovery nuclei 已提供检测模板。 - **在野利用**：数据未明确提及大规模在野利用，但PoC已公开，风险较高。

🔎 **自查方法**： - 检查WordPress后台插件列表，确认是否安装 **QT KenthaRadio** 或主题 **OnAir2**。 - 核对版本号是否低于 **2.0.2** (插件) 或 **3.9.9.2** (主题)。 - 使用Nuclei扫描模板进行自动化检测。

🛡️ **官方修复**： - **OnAir2**：升级至 **3.9.9.2** 或更高版本。 - **QT KenthaRadio**：升级至 **2.0.2** 或更高版本。 - 建议立即前往官方渠道更新。

🚧 **临时规避**： - **WAF防护**：配置Web应用防火墙，拦截包含代理参数的异常请求。 - **访问控制**：限制插件相关接口的访问权限（如可能）。 - **网络隔离**：确保服务器无法直接访问敏感内网资源。

⚡ **优先级**：**高**。 - 无需认证即可利用。 - 涉及SSRF/RFI等高危漏洞类型。 - 建议 **立即** 更新受影响组件。