Chat AI with Dispatcher WordPress插件：未认证任意文件上传（内容类型可伪造）导致远程代码执行

该插件仅依赖客户端提供的Content-Type来验证上传文件，因此未认证攻击者可以上传PHP载荷并在主机上实现远程代码执行。

这是AI聊天机器人插件中的未认证RCE，该插件可安装在数千个WordPress站点上。攻击者完全控制主机（可能还运行其他Web应用），且无需任何凭据——这是最有利于攻击者的AI插件漏洞类别。

该插件仅根据客户端提供的内容类型验证文件上传，攻击者可伪造此类型。未认证请求即可上传任意文件（包括PHP），随后服务器执行该文件，导致WordPress主机上发生RCE。

Chat AI with Dispatcher WordPress插件 < 2.4（在2.4中修复）。

更新至Chat AI with Dispatcher 2.4，该版本修复了上传验证问题。