CVE-2024-29100 — 神龙十问 AI 深度分析摘要

🚨 **本质**：WordPress插件 **AI Engine** 存在 **危险类型文件无限制上传** 漏洞。 💥 **后果**：攻击者可上传恶意脚本，导致 **服务器被完全控制**（CVSS评分极高，影响完整性、机密性和可用性）。

🔍 **CWE**：CWE-434（无限制的文件上传）。 🐛 **缺陷点**：插件未对上传文件的 **类型** 和 **内容** 进行严格校验，允许上传可执行文件（如PHP）。

📦 **厂商**：Jordy Meow。 📱 **产品**：AI Engine: ChatGPT Chatbot。 ⚠️ **版本**：漏洞报告提及 **2.1.4** 版本受影响（建议检查所有旧版本）。

👑 **权限**：获得 **Webshell** 访问权限，等同于服务器管理员权限。 📂 **数据**：可读取、修改、删除网站所有数据，植入后门，横向渗透内网。

🔐 **门槛**：**中等**。 📝 **条件**：需要 **PR:H**（高权限/认证），即攻击者需拥有WordPress后台 **管理员账号** 才能触发上传功能。

🧪 **Exp**：目前 **无公开PoC**（pocs为空）。 🌍 **在野**：暂无大规模在野利用报道，但高危漏洞需警惕自动化扫描。

🔎 **自查**： 1. 检查是否安装 **AI Engine** 插件。 2. 查看版本是否低于最新安全版本。 3. 监控服务器是否有异常的 **PHP文件** 出现在上传目录。

🛡️ **补丁**：官方已发布修复版本。 📥 **行动**：立即登录WordPress后台，将 **AI Engine** 插件更新至 **最新版本**。

🚧 **临时规避**： 1. 若无法更新，**禁用** 该插件。 2. 在服务器层面限制上传目录的 **PHP执行权限**。 3. 严格限制文件上传类型白名单。

🔥 **优先级**：**紧急**。 📈 **理由**：CVSS向量显示 **AV:N/AC:L/S:C/C:H/I:H/A:H**，虽需认证，但一旦利用后果毁灭性。建议 **立即修复**。