CVE-2024-10285 — 神龙十问 AI 深度分析摘要
CVSS 9.8 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：WordPress插件 **CE21 Suite** 存在 **JWT令牌关联用户** 的信息泄露。 💥 **后果**：攻击者可非法登录，导致 **高机密性、完整性及可用性** 损失。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE**：CWE-200（信息泄露）。 🐛 **缺陷**：插件在处理 **JWT令牌** 时逻辑缺陷，导致未授权关联用户身份。
Q3影响谁？（版本/组件）
🎯 **厂商**：ce21com。 📦 **产品**：CE21 Suite。 📅 **版本**：**2.2.0版本及之前** 均受影响。
Q4黑客能干啥？（权限/数据）
🕵️ **黑客能力**：直接 **登录** 与JWT令牌关联的用户账户。 📊 **数据风险**：可访问用户 **敏感数据**，甚至篡改内容（CVSS评分极高）。
Q5利用门槛高吗？（认证/配置）
🚪 **门槛**：**极低**。 🔑 **条件**：无需认证（PR:N），无需用户交互（UI:N），网络远程即可利用（AV:N）。
Q6有现成Exp吗？（PoC/在野利用）
🧪 **Exp状态**：数据中 **pocs为空**，暂无公开现成Exploit。 🌍 **在野**：未提及在野利用，但风险极高，需警惕。
Q7怎么自查？（特征/扫描）
🔎 **自查**：检查WordPress站点是否安装 **CE21 Suite** 插件。 📋 **版本**：确认版本是否 **≤ 2.2.0**。
Q8官方修了吗？（补丁/缓解）
🛡️ **官方修复**：参考链接指向插件代码修订版，暗示 **代码已更新**。 ✅ **建议**：立即升级至 **最新安全版本**。
Q9没补丁咋办？（临时规避）
⚠️ **临时规避**：若无法升级，建议 **暂时禁用** 该插件。 🔒 **缓解**：加强 **JWT令牌管理**，监控异常登录行为。
Q10急不急？（优先级建议）
🔥 **优先级**：**紧急**。 📈 **CVSS**：3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H，满分风险，需 **立即处理**。