CVE-2022-1952 — 神龙十问 AI 深度分析摘要

🚨 **本质**：任意文件上传漏洞。WordPress 插件 **Free Booking Plugin** 存在输入验证不足，攻击者可上传恶意文件。后果：网站被控、数据泄露、服务中断。

🔍 **根本原因**：**CWE-434**（任意文件上传）。代码中定义了合法文件扩展名白名单，但在验证步骤中**未实际使用**该白名单，导致验证形同虚设。

🎯 **影响对象**：使用 **Free Booking Plugin for Hotels, Restaurant and Car Rental** 插件的 WordPress 站点。受影响版本：**1.1.16 之前**的所有版本。

💀 **黑客能力**：获得**任意文件上传**权限。可执行：敏感信息窃取、数据篡改、未经授权的管理员操作，甚至远程代码执行（RCE）。

⚡ **利用门槛**：**低**。漏洞源于 AJAX 动作的输入验证缺失，通常无需高级认证即可触发（具体取决于插件配置，但验证逻辑缺失是核心）。

📦 **现成Exp**：**有**。ProjectDiscovery 已发布 **Nuclei 模板** (`CVE-2022-1952.yaml`)，可自动化检测该漏洞。

🔎 **自查方法**：1. 检查插件版本是否 < 1.1.16。2. 使用 Nuclei 扫描模板。3. 审计 AJAX 处理逻辑，确认文件扩展名校验代码是否被调用。

🛡️ **官方修复**：**是**。升级至 **1.1.16 或更高版本**即可修复。补丁核心：确保白名单在验证步骤中生效。

🚧 **临时规避**：若无法立即升级，建议：1. **禁用**该插件。2. 限制上传目录执行权限。3. 配置 WAF 拦截可疑文件上传请求。

🔥 **优先级**：**高**。任意文件上传是高危漏洞，直接威胁服务器安全。建议**立即**升级插件或采取缓解措施。