CVE-2015-3884 — 神龙十问 AI 深度分析摘要

🚨 **本质**：qdPM 8.3 存在**任意文件上传**漏洞。 💥 **后果**：攻击者可上传恶意脚本，直接**执行任意代码**，彻底沦陷。

🔍 **缺陷点**：**输入验证错误**。 📉 **CWE**：数据未提供具体 CWE ID，但核心是**缺乏对上传文件的严格校验**。

📦 **受影响组件**：**qdPM** 项目管理系统。 📌 **特定版本**：**8.3 版本**（基于 Symfony 框架）。

🕵️ **黑客权限**：获得**服务器执行权限**。 📂 **数据风险**：可访问 `uploads/attachments/` 和 `uploads/users/` 目录，植入 Webshell。

🚪 **利用门槛**：**中等**。 🔑 **条件**：需向特定页面（如 myAccount, projects 等）发送**直接请求**，通常需**认证用户**身份（参考 PacketStorm 标题）。

💻 **现成 Exp**：**有**。 📚 **来源**：PacketStorm Security 上有 **qdPM-9.1 Authenticated Shell Upload** 的利用代码参考。

🔎 **自查方法**： 1. 检查系统是否为 **qdPM 8.3**。 2. 扫描 `uploads/` 目录是否可**直接访问**或上传非预期文件。 3. 检查 `myAccount` 等页面上传接口逻辑。

🛡️ **官方修复**：数据中**未提及**官方补丁链接。 ⚠️ **注意**：引用链接指向 2017 年，建议升级至**最新安全版本**。

🚧 **临时规避**： 1. **禁用** `uploads/attachments/` 和 `uploads/users/` 的**执行权限**。 2. 限制上传文件类型，仅允许**图片/文档**。 3. 对上传目录设置**禁止脚本执行**的 Web 服务器配置。

🔥 **优先级**：**高**。 ⚡ **理由**：任意文件上传可直接导致**RCE（远程代码执行）**，危害极大，需立即处理。