CVE-2015-1000012 — 神龙十问 AI 深度分析摘要
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：本地文件包含 (LFI) 漏洞。 📉 **后果**：攻击者可读取服务器上的**任意文件**，导致敏感信息泄露。
Q2根本原因？（CWE/缺陷点）
🛡️ **缺陷点**：插件未对用户输入进行严格校验。 🔍 **CWE**：数据中未提供具体 CWE ID，但属于典型的**输入验证缺失**。
Q3影响谁？（版本/组件）
📦 **组件**：WordPress 插件 **mypixs**。 📅 **版本**：v0.3 及更早版本。
Q4黑客能干啥？（权限/数据）
💻 **权限**：无需高权限即可触发。 📂 **数据**：可包含**任意本地文件**（如配置文件、源码），获取敏感数据。
Q5利用门槛高吗？（认证/配置）
🔓 **门槛**：低。 ⚙️ **配置**：通常无需认证，直接通过构造恶意请求即可利用。
Q6有现成Exp吗？（PoC/在野利用）
📜 **Exp**：有现成 PoC。 🔗 **来源**：Vapid Labs 安全公告及 SecurityFocus BID 94495。
Q7怎么自查？（特征/扫描）
🔍 **自查**：扫描 WordPress 站点是否安装 **mypixs 插件**。 📡 **工具**：可使用 Nuclei 模板进行自动化检测。
Q8官方修了吗？（补丁/缓解）
🛠️ **补丁**：数据中未提及官方具体补丁链接。 ✅ **建议**：升级至修复该漏洞的**最新版本**或移除插件。
Q9没补丁咋办？（临时规避）
⚠️ **规避**：立即**卸载** mypixs 插件。 🚫 **限制**：若必须保留，需严格限制插件目录的**文件访问权限**。
Q10急不急？（优先级建议）
🔥 **优先级**：高。 ⏳ **状态**：LFI 是高危漏洞，建议**立即修复**，防止服务器被进一步渗透。