CVE-2024-2472 — 神龙十问 AI 深度分析摘要
CVSS 9.1 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：IDOR（不安全的直接对象引用）。 💥 **后果**：未授权攻击者可**随意访问和修改**其他客户的文件柜数据。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE**：CWE-639。 🐛 **缺陷**：相关函数**缺少功能检查**（Authorization Check），导致权限验证缺失。
Q3影响谁？（版本/组件）
📦 **组件**：WordPress Plugin **LatePoint**。 📅 **版本**：**4.9.9** 及之前所有版本。
Q4黑客能干啥？（权限/数据）
👁️ **权限**：**未经身份验证**（PR:N）。 📂 **数据**：可**读取**和**修改**其他用户的敏感文件柜内容。
Q5利用门槛高吗？（认证/配置）
🚪 **门槛**：**极低**。 ✅ **无需**登录、无需用户交互、无需特殊配置，网络可达即可利用。
Q6有现成Exp吗？（PoC/在野利用）
📜 **Exp**：数据中 **PoCs 为空**。 🌍 **在野**：暂无明确在野利用报告，但漏洞严重，需警惕。
Q7怎么自查？（特征/扫描）
🔎 **自查**：检查 WP 后台插件列表。 🔍 **特征**：确认是否安装 **LatePoint** 插件，且版本 **≤ 4.9.9**。
Q8官方修了吗？（补丁/缓解）
🛠️ **补丁**：官方已发布修复。 📌 **行动**：立即升级 LatePoint 插件至**最新版本**。
Q9没补丁咋办？（临时规避）
🛡️ **规避**：若无补丁，需**紧急停用**该插件。 🚫 或配置 WAF 拦截相关 API 请求，防止未授权访问。
Q10急不急？（优先级建议）
⚡ **优先级**：**极高**。 🔥 CVSS **9.1** (Critical)，数据泄露风险巨大，建议**立即修复**。