CVE-2023-39796 — 神龙十问 AI 深度分析摘要

🚨 **本质**：WBCE CMS 存在 **SQL注入** 漏洞。 💥 **后果**：攻击者可执行 **任意代码**，直接接管数据库。

🔍 **缺陷点**：`/modules/miniform/ajax_delete_message.php` 文件。 📉 **CWE**：数据中未提供具体CWE ID，但属于典型的 **未验证输入** 导致的注入。

🎯 **目标**：**WBCE CMS**。 📦 **版本**：**v1.6.0**（及之前版本）。

🕵️ **权限**：**未授权**远程攻击。 📂 **数据**：可 **Takeover 整个数据库**，窃取或篡改数据。

🚪 **门槛**：**极低**。 🔑 **认证**：**无需身份验证**（Unauthenticated），任何人可直接访问。

💻 **Exp**：**有**。 📄 **来源**：ProjectDiscovery Nuclei 模板已收录，GitHub 上有详细利用说明。

🔎 **自查**：检查是否安装 **miniform 模块**。 📍 **路径**：访问 `/modules/miniform/ajax_delete_message.php` 看是否存在且未修复。

🛡️ **补丁**：**已修复**。 📢 **版本**：官方发布了 **v1.6.1** 版本修复此漏洞。

⚠️ **规避**：若无法升级，需 **移除或禁用** `miniform` 模块。 🚫 **限制**：确保 `ajax_delete_message.php` 不可公开访问或添加认证检查。

🔥 **优先级**：**高**。 ⚡ **理由**：未授权 + SQL注入 = **高危**，建议立即升级至 v1.6.1。