📋 漏洞概述

Instant Appointment WordPress插件1.2及更早版本存在未经身份验证的任意文件上传漏洞，可导致远程代码执行。

📋 基础信息

🔬 漏洞根因

在'insapp_upload_image_as_attachment'函数中，缺乏对上传文件类型的有效验证（如检查MIME类型或文件扩展名白名单），并且该函数通过AJAX action 'add_service_front'暴露给未登录用户，导致攻击者可直接上传包含恶意代码的文件（如PHP webshell）到可访问目录。推测：插件可能仅依赖于Content-Type头或文件扩展名黑名单，但未执行严格的服务器端验证。

🎯 攻击场景

1. 攻击者定位WordPress站点，确认使用Instant Appointment插件版本<=1.2。 2. 通过未认证AJAX端点'add_service_front'，向'insapp_upload_image_as_attachment'函数发送POST请求，上传一个包含PHP代码的恶意文件（如shell.php），利用缺失的文件类型校验。 3. 文件被保存到服务器可写目录（如/wp-content/uploads/）。 4. 攻击者访问上传的文件地址，触发PHP执行，获得服务器级别的RCE。 5. 攻击者利用RCE进一步窃取数据库、安装后门或横向移动。

💥 漏洞影响

未经身份验证的攻击者可上传任意文件（如PHP webshell），实现远程代码执行，完全控制受影响的WordPress服务器，导致数据泄露、网站篡改、恶意软件分发等严重安全风险。

🛡️ 修复建议

升级插件至1.2以上版本。临时缓解措施：禁用add_service_front AJAX action或增加严格的文件类型白名单验证（仅允许图片扩展名和MIME类型），并设置上传目录不可执行脚本（如通过.htaccess或Nginx配置禁止解析PHP）。

📎 参考链接

• https://nvd.nist.gov/vuln/detail/CVE-2026-15282
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2026-15282
• https://github.com/shinthink/CVE-2026-15282
• 原始来源（NVD-Latest）

🚨 威胁评估

⚠️ 本文由漏洞情报系统自动生成，仅供安全研究与防御参考。生成时间: 2026-07-12 08:11 | 来源: NVD-Latest