CVE-2024-49329 — 神龙十问 AI 深度分析摘要
CVSS 10.0 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：任意文件上传漏洞。攻击者可上传恶意文件。后果：服务器被控，数据泄露，网站沦陷。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE-434**：不受限制的文件上传。缺陷点：未校验文件类型，允许上传危险文件。
Q3影响谁？（版本/组件）
🎯 **受影响**：WordPress 插件 **WP REST API FNS**。版本：**1.0.0 及之前**。厂商：vivek2tamrakar。
Q4黑客能干啥？（权限/数据）
💀 **黑客能力**：完全控制服务器（S:C）。可窃取敏感数据（C:H），篡改网站内容（I:H），破坏服务（A:H）。
Q5利用门槛高吗？（认证/配置）
📉 **门槛极低**：CVSS 显示 **无需认证** (PR:N)，**无需用户交互** (UI:N)，**网络远程** (AV:N)。直接利用。
Q6有现成Exp吗？（PoC/在野利用）
📦 **Exp/PoC**：数据中 **pocs 为空**。暂无公开现成代码，但利用逻辑简单，易编写。
Q7怎么自查？（特征/扫描）
🔎 **自查方法**：检查是否安装 **WP REST API FNS** 插件。版本是否 ≤ 1.0.0。扫描上传接口是否过滤文件类型。
Q8官方修了吗？（补丁/缓解）
🛡️ **官方修复**：数据未提及具体补丁版本。建议立即联系厂商或查看 Patchstack 链接获取最新修复方案。
Q9没补丁咋办？（临时规避）
⚠️ **临时规避**：立即 **停用/卸载** 该插件。限制上传目录权限。配置 WAF 拦截恶意文件上传请求。
Q10急不急？（优先级建议）
🔥 **优先级：极高**。CVSS 满分附近，远程无认证利用。建议 **立即行动**，优先修复或隔离。