CVE-2024-47350 — 神龙十问 AI 深度分析摘要

🚨 **本质**：SQL注入 (SQLi)。 🔥 **后果**：攻击者可通过构造恶意SQL命令，非法获取或篡改数据库内容，严重威胁网站数据安全。

🛡️ **CWE**：CWE-89 (SQL注入)。 🔍 **缺陷点**：SQL命令中使用的**特殊元素中和不当**，导致输入数据被当作代码执行。

📦 **组件**：WordPress插件 **YITH WooCommerce Ajax Search**。 ⚠️ **版本**：**2.8.0版本及之前**的所有版本均受影响。

💻 **权限**：远程无需认证。 📊 **数据**：可**高概率**泄露数据库敏感信息 (C:H)，并可能导致数据篡改 (I:N) 或服务中断 (A:L)。

🚪 **门槛**：**极低**。 🔑 **条件**：无需认证 (PR:N)，无需用户交互 (UI:N)，攻击复杂度低 (AC:L)，通过网络即可远程利用 (AV:N)。

🧪 **Exp**：当前数据源中 **PoC为空** (pocs: [])。 🌍 **在野**：暂无明确在野利用报告，但鉴于CVSS评分高，需警惕潜在利用。

🔎 **自查**：检查WordPress后台插件列表。 📋 **特征**：确认是否安装 **YITH WooCommerce Ajax Search** 且版本号 **≤ 2.8.0**。

🛠️ **补丁**：官方已发布修复方案。 📝 **建议**：访问 Patchstack 或 WordPress 官方仓库，将插件升级至**修复后的最新版本**。

🚧 **临时规避**：若无法立即升级，可考虑**暂时禁用**该搜索插件。 🔒 **防御**：部署WAF规则，过滤包含SQL关键字的搜索请求参数。

🔥 **优先级**：**紧急**。 📈 **评分**：CVSS 3.1 高分 (AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:L)。 💡 **行动**：建议**立即**排查并升级，防止数据泄露风险。