CVE-2022-2297 — 神龙十问 AI 深度分析摘要

🚨 **本质**：不受限制的文件上传漏洞。 💥 **后果**：攻击者可上传恶意脚本，直接导致 **远程代码执行 (RCE)**，彻底拿下服务器权限。

🛡️ **CWE-434**：无限制的文件上传。 🔍 **缺陷点**：参数 `profile_picture` 未做严格校验，允许上传任意类型文件。

🏥 **产品**：Clinics Patient Management System。 📦 **版本**：2.0 版本。 👤 **开发者**：Carlo Montero (SourceCodester)。

👑 **权限**：直接获取 **应用系统权限**。 💾 **数据**：可执行任意命令，窃取敏感病人数据或控制服务器。

🔑 **门槛**：中等。 ⚙️ **条件**：需要 **低权限认证 (PR:L)**，无需用户交互 (UI:N)，攻击复杂度低 (AC:L)。

📂 **PoC**：有公开利用代码。 🔗 **来源**：GitHub (CyberThoth) 及 Vuldb 均有记录，利用路径清晰。

🔍 **自查**：检查 `profile_picture` 上传接口。 🚫 **特征**：是否允许上传 `.php`, `.jsp`, `.asp` 等可执行脚本文件。

🛠️ **状态**：数据未提及官方补丁。 ⚠️ **建议**：该漏洞由个人开发者发布，需联系 SourceCodester 或原作者获取修复方案。

🚧 **临时规避**： 1. **白名单**：仅允许上传图片格式 (jpg/png)。 2. **重命名**：上传文件强制重命名，禁止执行。 3. **隔离**：上传目录禁止脚本执行权限。

🔥 **优先级**：高 (CVSS 3.1 中危，但 RCE 危害极大)。 ⚡ **行动**：立即隔离受影响系统，实施文件上传限制，防止服务器被控。