CVE-2025-7852 — 神龙十问 AI 深度分析摘要

🚨 **本质**：任意文件上传漏洞。 💥 **后果**：攻击者可上传恶意脚本，完全控制服务器。

🔍 **CWE-434**：无限制的文件上传。 📍 **缺陷点**：`image_upload_handle` 函数**缺少文件类型验证**。

📦 **组件**：WordPress 插件 **WPBookit**。 🏢 **厂商**：iqonicdesign。 📅 **版本**：**1.0.6 及之前**版本。

🔓 **权限**：获取服务器 **High** 权限。 📊 **数据**：可读取/修改所有 **High** 敏感数据。 💀 **影响**：CVSS 评分极高，全维度高危。

🚪 **门槛**：**低**。 🔑 **认证**：无需认证 (PR:N)。 🌐 **网络**：网络可达即可 (AV:N)。 👤 **交互**：无需用户交互 (UI:N)。

📜 **Exp**：数据中 **无** 现成 PoC 列表。 🌍 **在野**：未提及在野利用情况。 ⚠️ **注意**：虽无公开 PoC，但漏洞原理简单，利用风险仍高。

🔎 **自查**：检查 WP 后台是否安装 **WPBookit**。 📋 **版本**：确认版本号是否 **≤ 1.0.6**。 🛠️ **代码**：审计 `class.wpb-customer-controller.php` 第 362 行附近。

🛡️ **补丁**：参考链接指向 **changeset 3331165**。 ✅ **状态**：官方已发布修复版本（需升级至最新版）。

🚧 **规避**：若无补丁，**禁用** 该插件。 🔒 **限制**：严格限制上传目录执行权限。 🧱 **WAF**：配置 WAF 拦截恶意文件上传请求。

🔥 **优先级**：**紧急 (Critical)**。 📉 **风险**：CVSS 3.1 满分潜力，无需认证即可利用。 🏃 **行动**：立即升级插件或下线该组件。