CVE-2023-6090 — 神龙十问 AI 深度分析摘要
CVSS 9.1 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：文件上传限制缺失。WordPress 插件 Mollie Payments for WooCommerce 允许上传危险类型文件。💥 **后果**：攻击者可上传恶意脚本，导致网站被完全控制。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE**：CWE-434（不受限制的文件上传）。📉 **缺陷**：后端未对上传文件的类型进行严格校验，导致危险文件（如 PHP）可被上传。
Q3影响谁？（版本/组件）
🏢 **厂商**：Mollie。📦 **产品**：Mollie Payments for WooCommerce。⚠️ **受影响**：使用该插件的 WordPress/WooCommerce 站点。
Q4黑客能干啥？（权限/数据）
👑 **权限**：远程代码执行 (RCE)。📂 **数据**：可读取/修改网站所有数据，甚至控制服务器。CVSS 评分极高 (C:H/I:H/A:H)。
Q5利用门槛高吗？（认证/配置）
🔐 **门槛**：需认证 (PR:H)。黑客需拥有 WordPress 后台账号才能触发上传漏洞。非完全匿名利用。
Q6有现成Exp吗？（PoC/在野利用）
📜 **Exp**：暂无公开 PoC。🌍 **在野**：数据未显示在野利用。但高危漏洞通常会被快速利用。
Q7怎么自查？（特征/扫描）
🔎 **自查**：检查 WordPress 后台插件列表。🔍 **特征**：确认是否安装 'Mollie Payments for WooCommerce'。查看版本是否低于修复版本。
Q8官方修了吗？（补丁/缓解）
🛡️ **补丁**：官方已发布修复。📥 **行动**：立即升级插件至安全版本（参考 Patchstack 链接）。
Q9没补丁咋办？（临时规避）
⚠️ **临时**：若无补丁，禁用该插件。🚫 **限制**：严格限制上传目录执行权限，或移除上传目录的 PHP 执行权限。
Q10急不急？（优先级建议）
🔥 **优先级**：极高。CVSS 向量显示影响完整性、机密性和可用性。即使需认证，后果也是灾难性的。立即修复！