CVE-2021-24145 — 神龙十问 AI 深度分析摘要

🚨 **本质**：任意文件上传漏洞。插件未正确检查导入文件，导致恶意文件可被上传。后果：可能导致 **远程代码执行 (RCE)**，服务器沦陷。

🔍 **根本原因**：**CWE-434**（任意文件上传）。缺陷点在于对导入文件的 **类型/内容检查缺失**，未验证文件合法性。

🎯 **影响对象**：**WordPress** 插件 **Modern Events Calendar Lite**。受影响版本：**5.16.5 之前**的所有版本。

💀 **黑客能力**：上传并执行 **PHP 文件**。权限：需 **管理员或高权限用户** 操作。数据：完全控制服务器，窃取/篡改数据。

🚪 **利用门槛**：**中等**。需要 **认证**（Authenticated）。攻击者需拥有管理员或高权限账号才能触发上传功能。

💣 **现成Exp**：**有**。GitHub 上有 PoC (dnr6419)，ProjectDiscovery Nuclei 模板已收录。PacketStorm 也有相关利用报告。

🔎 **自查方法**：扫描 WordPress 插件列表，检查是否安装 **Modern Events Calendar Lite** 且版本 **< 5.16.5**。使用 Nuclei 模板 `CVE-2021-24145.yaml` 快速检测。

🛡️ **官方修复**：**已修复**。升级至 **5.16.5 或更高版本** 即可解决此漏洞。

🚧 **临时规避**：若无法立即升级，建议 **禁用该插件**，或严格限制 **管理员账号** 权限，禁止非信任用户上传文件。

⚡ **优先级**：**高**。虽需认证，但 RCE 后果严重。建议 **立即升级** 插件至安全版本，消除远程执行风险。