CVE-2025-31403 — 神龙十问 AI 深度分析摘要

🚨 **本质**：Booking Calendar and Notification 插件存在 **SQL注入 (SQLi)** 漏洞。 📉 **后果**：攻击者可利用 **盲SQL注入** 窃取数据库敏感信息，甚至可能进一步控制服务器。

🔍 **CWE**：CWE-89 (SQL注入)。 🛠️ **缺陷点**：特殊元素 **中和不当**，导致输入数据被错误解析为SQL指令。

📦 **组件**：WordPress 插件 **Booking Calendar and Notification**。 🏷️ **厂商**：shiptrack。 ⚠️ **版本**：**4.0.3 及之前版本** 均受影响。

💀 **权限**：无需认证，直接远程利用。 📂 **数据**：可读取数据库内容（**C:H** 高机密性影响），可能导致用户数据泄露、网站被篡改或服务器接管。

🚪 **门槛**：**极低**。 🔑 **条件**：无需认证 (**PR:N**)，无需用户交互 (**UI:N**)，网络可达即可 (**AV:N**)，攻击复杂度低 (**AC:L**)。

🧪 **Exp**：当前公开数据中 **暂无** 现成 PoC 或确凿的在野利用报告。 📝 **注意**：虽无公开Exp，但漏洞原理清晰，利用风险极高。

🔎 **自查**：检查 WordPress 后台已安装插件列表。 🔍 **特征**：确认插件名称为 **Booking Calendar and Notification**，且版本号为 **4.0.3 或更低**。

🛡️ **补丁**：官方已发布修复建议。 📌 **行动**：参考 Patchstack 提供的链接，升级至 **修复后的最新版本** 以消除漏洞。

⚠️ **临时规避**：若无法立即升级，建议 **暂时禁用** 该插件。 🚫 **替代**：寻找功能相似的替代插件，或限制插件访问权限，防止未授权访问。

🔥 **优先级**：**紧急 (Critical)**。 📊 **CVSS**：3.1 版本，向量显示为 **高危**。 💡 **建议**：立即行动，优先修复，避免数据泄露事故。