CVE-2022-24734 — 神龙十问 AI 深度分析摘要

🚨 **本质**：MyBB 后台设置模块未验证类型，导致**代码注入**。 💥 **后果**：直接引发 **RCE（远程代码执行）**，服务器沦陷。

🔍 **CWE**：CWE-94（代码注入）。 📍 **缺陷点**：Admin CP 设置管理模块在**插入/更新**时，未正确验证**设置类型**。

🎯 **目标**：MyBB 论坛软件。 📦 **版本**：主要影响 **MyBB 1.8.29**（及类似旧版本）。

👑 **权限**：获得服务器**最高控制权**。 📂 **数据**：可任意读取、修改、删除数据，甚至控制整个主机。

🔑 **门槛**：中等。 ⚠️ **条件**：需拥有 **Admin CP 权限**（能添加/更新设置），无需用户交互 (UI:N)。

💣 **Exp**：有！ 🔗 GitHub 上已有多个 **PoC**（如 Altelus1, lavclash75 提供的脚本）。

🔎 **自查**： 1. 检查是否运行 **MyBB 1.8.29**。 2. 扫描 Admin CP 设置接口是否存在类型验证缺失。

🛡️ **修复**：官方已发布补丁。 📌 **动作**：升级 MyBB 至最新版本，或应用 GitHub 提交的安全修复。

⏸️ **临时规避**： 1. **限制权限**：严格管控 Admin CP 访问。 2. **WAF 防护**：拦截针对设置接口的恶意注入请求。

🔥 **优先级**：**极高**。 💡 **建议**：CVSS 评分 **9.8**，RCE 漏洞，建议**立即**升级或隔离。