CVE-2023-49750 — 神龙十问 AI 深度分析摘要
CVSS 9.3 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：SQL注入漏洞 (SQLi)。 💥 **后果**：攻击者可非法获取数据库内容，导致数据泄露或网站被篡改。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE-89**：SQL注入。 🛠️ **缺陷点**：对特殊元素（如输入参数）的**中和/过滤不当**，导致恶意SQL代码执行。
Q3影响谁？（版本/组件）
📦 **组件**：WordPress 主题 Couponis。 🏷️ **厂商**：Spoonthemes。 ⚠️ **版本**：**3.1.7 之前**的所有版本均受影响。
Q4黑客能干啥？（权限/数据）
👮 **权限**：无需认证 (PR:N)。 📊 **数据**：可读取高敏感数据 (C:H)，包括用户信息、配置等。 🔧 **影响**：可能导致完整性受损 (I:N) 或服务中断 (A:L)。
Q5利用门槛高吗？（认证/配置）
🚪 **门槛极低**。 ✅ **无需认证** (PR:N)。 ✅ **无需用户交互** (UI:N)。 ✅ **网络远程** (AV:N)。 ✅ **攻击复杂度低** (AC:L)。
Q6有现成Exp吗？（PoC/在野利用）
📄 **PoC**：数据中未提供现成利用代码 (pocs: [])。 🌍 **在野利用**：暂无明确在野利用报告，但鉴于CVSS评分高，风险极大。
Q7怎么自查？（特征/扫描）
🔎 **自查方法**： 1. 检查 WordPress 后台主题版本是否为 Couponis < 3.1.7。 2. 使用 SQL 注入扫描器对站点进行自动化测试。 3. 监控数据库日志中的异常查询。
Q8官方修了吗？（补丁/缓解）
🛡️ **补丁状态**：官方已发布修复版本（3.1.7+）。 📝 **建议**：立即升级至 **3.1.7 或更高版本**。
Q9没补丁咋办？（临时规避）
🚧 **临时规避**： 1. 若无法升级，暂时**停用**该主题。 2. 部署 **WAF** (Web应用防火墙) 拦截 SQL 注入特征。 3. 严格限制数据库账户权限。
Q10急不急？（优先级建议）
🔥 **优先级：高**。 📈 **CVSS评分**：高危 (AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:L)。 ⏰ **行动**：建议**立即**修复，防止数据大规模泄露。