CVE-2024-6460 — 神龙十问 AI 深度分析摘要

🚨 **本质**：本地文件包含 (LFI) 漏洞。 💥 **后果**：攻击者可读取服务器敏感文件，甚至执行任意 PHP 代码，导致网站被完全控制。

🔍 **缺陷点**：`component` 参数未做严格过滤。 📉 **CWE**：数据中未明确标注，但属于典型的 **文件包含** 类缺陷。

🎯 **目标**：WordPress 插件 **Grow by Tradedoubler**。 📦 **版本**：**2.0.21 及以下版本**（即 < 2.0.22）。

🕵️ **黑客能力**： 1. 读取敏感配置（如 `wp-config.php`）。 2. 包含并执行恶意 PHP 文件。 3. 获取服务器 **Shell 权限**，控制整个站点。

⚡ **门槛**：**极低**。 🔓 **认证**：**无需认证** (Unauthenticated)。 🌐 **条件**：只需知道目标 WordPress 站点 URL 即可尝试利用。

📦 **Exp 状态**：**有现成 PoC**。 🔗 多个 GitHub 仓库已发布自动化脚本（如 `CVE-2024-6460.py`），可直接运行测试。

🔎 **自查方法**： 1. 检查插件版本是否 **< 2.0.22**。 2. 使用 Nuclei 模板扫描：`http/cves/2024/CVE-2024-6460.yaml`。 3. 尝试构造包含 `component` 参数的恶意请求。

🛡️ **修复状态**：**已修复**。 ✅ **补丁**：升级至 **2.0.22 或更高版本** 即可解决此漏洞。

🚧 **临时规避**： 1. **立即升级**插件至最新版。 2. 若无法升级，通过 WAF 规则拦截包含 `../` 或敏感文件名的 `component` 参数请求。 3. 限制服务器目录读取权限。

⚠️ **优先级**：**高危 (High)**。 🔥 **建议**：由于 **无需认证** 且 **有现成 Exp**，建议 **立即修复**，防止被自动化脚本批量扫描利用。