CVE-2023-30777 — 神龙十问 AI 深度分析摘要

🚨 **本质**：WordPress插件 **Advanced Custom Fields PRO** 存在 **反射型XSS** 漏洞。 💥 **后果**：攻击者可在页面注入恶意脚本，导致用户浏览器执行非预期代码。

🔍 **CWE**：CWE-79 (跨站脚本)。 🐛 **缺陷**：**输入清理不足** + **输出转义缺失**。特别是 `post_status` 参数未做安全处理。

📦 **产品**：Advanced Custom Fields Pro。 🏢 **厂商**：WP Engine。 📉 **版本**：**6.1.5 及之前版本**（即 < 6.1.6）。

🕵️ **权限**：无需管理员权限，普通用户/访客即可触发。 📊 **数据**：可窃取 **Cookie-based 认证凭据**，劫持用户会话，发起其他攻击。

🚪 **门槛**：**低**。 🔑 **认证**：**PR:N** (无需认证)。 👀 **交互**：**UI:R** (需用户点击/交互)。 🌐 **网络**：**AV:N** (网络远程利用)。

💻 **PoC**：有现成工具。 🔗 **来源**：GitHub 上有 `CVE-2023-30777` 的 PoC URL 生成器 (Alucard0x1)。 🔎 **扫描**：ProjectDiscovery Nuclei 模板已支持检测。

🔎 **自查**：检查插件版本是否 **≤ 6.1.5**。 🧪 **测试**：构造包含恶意脚本的 `post_status` 参数 URL 进行测试。 🛠️ **工具**：使用 Nuclei 模板 `http/cves/2023/CVE-2023-30777.yaml` 扫描。

🛡️ **补丁**：官方已修复。 ✅ **版本**：升级至 **6.1.6 或更高版本** 即可解决。

⏳ **临时规避**：若无法立即升级，建议 **WAF 拦截** 包含脚本标签的 `post_status` 参数。 🚫 **限制**：严格过滤用户输入，启用输出转义。

⚡ **优先级**：**中/高**。 📈 **理由**：影响范围广（200万+站点），无需认证即可触发，易被自动化利用。建议 **尽快升级**。