CVE-2026-5118 — 神龙十问 AI 深度分析摘要

🚨 **本质**：角色参数未验证。攻击者传入自定义角色，绕过默认设置。后果：直接创建管理员账户，彻底沦陷。

🛡️ **CWE-285**：不正确的授权。缺陷点：代码接受用户控制的角色参数，却未校验其是否符合系统默认用户角色设置。

📦 **受影响**：WordPress插件 **Divi Form Builder**。版本：**5.1.2及之前**所有版本。

💀 **黑客能力**：无需登录（未授权）。可创建拥有最高权限的**管理员账户**，完全控制网站。

📉 **门槛极低**：无需认证（PR:N），无需用户交互（UI:N）。网络远程即可利用，攻击复杂度低（AC:L）。

🔍 **现状**：数据中未提供现成Exp或PoC。但鉴于CVSS评分极高（9.8），在野利用风险极大，需警惕。

🔎 **自查**：检查WordPress后台插件列表，确认是否安装 **Divi Form Builder**，且版本号 **≤ 5.1.2**。

🔧 **修复**：参考官方Changelog链接，通常需升级至 **5.1.3或更高版本**以修复此逻辑缺陷。

⚠️ **临时规避**：若无补丁，建议**立即禁用**该插件。或限制插件目录权限，阻断未授权访问路径。

🔥 **优先级：紧急**！ CVSS 9.8分，直接导致管理员权限丢失。建议**立即升级**或停用插件，勿拖延。