CVE-2024-51791 — 神龙十问 AI 深度分析摘要

🚨 **本质**：WordPress插件 Forms 存在**危险类型文件上传不受限制**漏洞。 💥 **后果**：攻击者可上传恶意文件，直接导致**远程代码执行 (RCE)**，服务器完全沦陷。

🔍 **CWE**：CWE-434（**不受限制的文件上传**）。 🐛 **缺陷点**：插件未对上传文件的**类型**进行严格校验，允许上传可执行脚本（如PHP）。

📦 **组件**：WordPress Plugin **Forms**。 🏢 **厂商**：Made I.T. 📉 **版本**：**2.8.0 及之前版本**均受影响。

👑 **权限**：**远程命令执行 (RCE)**，等同于服务器最高权限。 📂 **数据**：可读取/篡改网站所有数据、数据库、配置文件，甚至横向渗透内网。

🚪 **门槛**：**极低**。 🔓 **认证**：**无需认证** (Unauthenticated)。 ⚡ **利用**：**0-click**，无需用户交互，直接触发。

💣 **Exp**：**已有现成 PoC**。 🔗 链接：GitHub 上存在 `0-click-RCE-Exploit`，可自动上传Payload并获取交互式Shell。

🔎 **自查**：检查 WordPress 后台插件列表。 📋 **特征**：确认是否安装 **Forms** 插件，且版本号 **≤ 2.8.0**。

🛡️ **补丁**：数据未提供具体补丁版本，但明确指出 **2.8.0 及之前**有漏洞。 ✅ **建议**：立即升级至**最新安全版本**（需查阅官方最新公告）。

🚧 **临时规避**：若无法立即升级： 1. **停用/删除**该插件。 2. 配置 WAF 拦截**文件上传接口**的恶意请求。 3. 限制上传目录的**执行权限**。

🔥 **优先级**：**紧急 (Critical)**。 ⚠️ **理由**：CVSS 满分倾向，**无需认证**且**有公开Exp**，被自动化扫描和攻击的概率极高，需**立即处置**。