CVE-2022-3982 — 神龙十问 AI 深度分析摘要

🚨 **本质**：Booking Calendar 插件存在**任意文件上传**漏洞。 💥 **后果**：攻击者可上传恶意文件（如 PHP），直接导致 **RCE（远程代码执行）**，彻底沦陷。

🔍 **根本原因**：**未验证上传文件**。 🐛 **缺陷点**：插件缺乏对上传文件类型、内容的严格校验机制，导致恶意载荷直入服务器。

🎯 **影响组件**：WordPress 插件 **Booking Calendar**。 📉 **受影响版本**：**3.2.2 之前**的所有版本。

🕵️ **黑客权限**：无需登录，直接获取服务器控制权。 📂 **数据风险**：可执行任意操作，修改数据、窃取敏感信息，甚至控制整个网站。

🚪 **利用门槛**：**极低**。 🔓 **认证要求**：**无需身份验证**（Unauthenticated），任何访客均可发起攻击。

💣 **现成 Exp**：**有**。 📦 **PoC 来源**：ProjectDiscovery 的 Nuclei 模板已收录，自动化扫描工具可直接利用。

🔎 **自查方法**：检查 WordPress 后台插件列表。 📋 **特征**：查看 **Booking Calendar** 插件版本是否 **< 3.2.2**。

🛡️ **官方修复**：**已修复**。 🔧 **缓解措施**：升级插件至 **3.2.2 或更高版本** 即可消除漏洞。

⚠️ **临时规避**：若无法立即升级，建议**暂时禁用**该插件。 🚫 **替代方案**：寻找其他安全的日历/预约插件替代。

🔥 **紧急程度**：**高**。 📢 **建议**：鉴于无需认证且可 RCE，建议**立即**更新或下线，防止被自动化脚本批量攻击。