📋 漏洞概述

WordPress Instant Appointment 插件 <=1.2 存在未认证任意文件上传漏洞，可导致远程代码执行。

📋 基础信息

🔬 漏洞根因

插件在 insapp_upload_image_as_attachment 函数中缺少对上传文件类型的有效验证，仅通过简单的后缀检查或完全不检查，导致攻击者可以上传 PHP、JSP、ASP 等可执行脚本文件到可访问的 Web 目录。此函数可能通过 WP AJAX 路由被未认证用户调用，结合 WordPress 的媒体上传逻辑缺陷，使得文件直接存储于 wp-content/uploads 下并可被直接访问执行。

🎯 攻击场景

1. 攻击者扫描目标网站发现存在 Instant Appointment 插件版本 <=1.2，并确认 WP AJAX 无认证端点可用。2. 构造一个包含 PHP 木马（例如 `<?php system($_GET['cmd']); ?>`）的文件，修改 Content-Type 为 image/jpeg 绕过前端可能存在的 MIME 检查。3. 发送 POST 请求到 `/wp-admin/admin-ajax.php`，action 参数设为 `insapp_upload_image_as_attachment`，携带恶意文件作为附件。4. 服务器返回上传文件的 URL，例如 `http://target/wp-content/uploads/2026/01/shell.php`。5. 攻击者访问该 URL，附加 `?cmd=id` 等参数，即可在服务器上执行任意命令，获得初始权限。

💥 漏洞影响

未经身份验证的攻击者可在受影响 WordPress 站点上上传并执行任意 PHP 代码，实现远程代码执行（RCE），进而完全控制服务器，包括窃取数据库、修改站点内容、植入后门、横向移动等。该漏洞影响所有版本 <=1.2 的网站，鉴于 WordPress 的广泛使用，潜在受影响站点数量巨大。

🛡️ 修复建议

升级插件至 1.3 或更高版本。临时缓解措施：在 Web 服务器层面（如 Nginx/Apache）禁用对 wp-content/uploads 目录的 PHP 执行权限，或添加规则阻止直接访问上传的 PHP 文件；同时禁用 WP AJAX 的 insapp_upload_image_as_attachment 动作，如通过 .htaccess 限制访问。

📎 参考链接

• https://nvd.nist.gov/vuln/detail/CVE-2026-15282
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2026-15282
• https://github.com/shinthink/CVE-2026-15282
• 原始来源（Sploitus）

🚨 威胁评估

⚠️ 本文由漏洞情报系统自动生成，仅供安全研究与防御参考。生成时间: 2026-07-13 08:13 | 来源: Sploitus