CVE-2024-49324 — 神龙十问 AI 深度分析摘要
CVSS 10.0 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：任意文件上传漏洞。攻击者可上传恶意脚本文件。后果：服务器被完全控制，数据泄露或网站被篡改。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE-434**：不受限制的危险文件类型上传。缺陷点：插件未对上传文件的扩展名或内容进行严格校验。
Q3影响谁？（版本/组件）
🛡️ **受影响**：Sovratec Case Management 插件。版本：**1.0.0 及之前**。厂商：sovratecdev。
Q4黑客能干啥？（权限/数据）
💡 **黑客权限**：CVSS 评分极高 (H/H/H)。可执行任意代码 (RCE)，获取敏感数据，修改网站内容。
Q5利用门槛高吗？（认证/配置）
⚡ **利用门槛**：低。CVSS 向量显示无需认证 (PR:N)、无需用户交互 (UI:N)、网络远程 (AV:N)。
Q6有现成Exp吗？（PoC/在野利用）
📦 **Exp/PoC**：数据中未提供现成 PoC。但此类漏洞通常易被自动化扫描器利用，需警惕在野攻击。
Q7怎么自查？（特征/扫描）
🔎 **自查方法**：检查 WordPress 插件列表，确认是否安装 Sovratec Case Management 且版本 <= 1.0.0。
Q8官方修了吗？（补丁/缓解）
🛠️ **官方修复**：数据未提及具体补丁版本。建议立即联系厂商 sovratecdev 获取更新或临时方案。
Q9没补丁咋办？（临时规避）
🚧 **临时规避**：若无补丁，建议**立即禁用/卸载**该插件。或限制上传目录执行权限，阻断 PHP 执行。
Q10急不急？（优先级建议）
🔥 **优先级**：**紧急**。CVSS 3.1 满分风险，远程无需认证即可利用，建议立即处置。