CVE-2021-4374 — 神龙十问 AI 深度分析摘要

🚨 **本质**：WordPress Automatic 插件存在**未授权访问**漏洞。 💥 **后果**：攻击者可绕过权限验证，直接修改 WordPress 核心配置或创建管理员账号，导致**网站完全沦陷**。

🔍 **CWE-862**：缺失必要的授权检查。 📍 **缺陷点**：`process_form.php` 脚本中，`update_option()` 函数直接处理所有 POST 参数，**未验证用户身份**或**权限能力**。

📦 **组件**：WordPress Automatic Plugin。 🏷️ **厂商**：ValvePress。 📉 **版本**：**3.53.2 及以下版本**均受影响。

👑 **权限提升**：可创建任意**管理员账户**。 ⚙️ **配置篡改**：可修改任意 WordPress 选项（如站点 URL、密钥等）。 📊 **数据风险**：虽 CVSS 显示 C:N，但 I:H/A:H 意味着**完整性**和**可用性**遭受毁灭性打击。

🚪 **门槛极低**： ✅ **无需认证**（PR:N）。 ✅ **无需交互**（UI:N）。 ✅ **网络可达**（AV:N）。 ⚠️ **注意**：即使插件**已停用**，该独立脚本仍可被利用！

🧪 **有现成 PoC**： 🔗 GitHub 上有 Nuclei 模板可直接检测。 🔗 有 Docker 测试环境可复现。 🌍 属于**高危**漏洞，自动化扫描工具（如 Nuclei）已广泛支持。

🔎 **自查方法**： 1. 检查插件版本是否 ≤ 3.53.2。 2. 使用 Nuclei 模板 `http/cves/2021/CVE-2021-4374.yaml` 进行扫描。 3. 尝试向 `/wp-content/plugins/wordpress-automatic/process_form.php` 发送 POST 请求，观察是否无报错且生效。

🛡️ **官方修复**： 📢 漏洞已公开（2023-06-07 披露）。 💡 **建议**：立即升级插件至**最新版本**以修复此缺陷。

🚧 **临时规避**： 1. **升级插件**（首选）。 2. 若无法升级，尝试通过 Web 应用防火墙（WAF）**拦截**对 `process_form.php` 的 POST 请求。 3. 检查并移除可疑的管理员账户。

🔥 **优先级：极高 (Critical)**。 ⚡ **CVSS 9.8**。 🚀 **行动**：这是**远程代码执行/接管**的前置条件，建议**立即**修复，无需等待。