CVE-2020-37044 — 神龙十问 AI 深度分析摘要
CVSS 5.4 · Medium
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **反射型XSS漏洞**：OpenCTI 3.3.1在`/graphql`端点未过滤查询字符串，攻击者可注入JS代码。💻 **后果**：受害浏览器执行恶意脚本，弹窗、窃取Cookie等。
Q2根本原因？（CWE/缺陷点）
🔍 **根本原因**：CWE-79（输入验证不足）。❌ 未对`?`后参数做XSS转义，导致恶意JS直接渲染。🛠️ 缺陷点：GraphQL接口未做安全过滤。
Q3影响谁？（版本/组件）
🎯 **影响版本**：OpenCTI 3.3.1。📦 **组件**：前端Web界面（通过`/graphql`暴露）。✅ 在Linux Mint & Windows 10上已验证。
Q4黑客能干啥？（权限/数据）
🔓 **黑客能干啥**：在用户浏览器执行任意JS。📌 包括：窃取会话、重定向、弹窗钓鱼。⚠️ 无直接服务器权限，但可劫持用户会话。
Q5利用门槛高吗？（认证/配置）
⚠️ **利用门槛低**：无需认证！✅ 仅需构造恶意URL，用户点击即触发。🌐 攻击者可诱导用户访问恶意链接。
Q6有现成Exp吗？（PoC/在野利用）
🛠️ **有现成Exp**：ExploitDB #48595提供PoC。🔗 示例：`/graphql?'"--></style></scRipt><scRipt>alert('Raif_Berkay')</scRipt>`。⚠️ 未提在野利用。
Q7怎么自查？（特征/扫描）
🔍 **自查方法**：检查`/graphql`是否接受任意查询参数。🧪 用测试载荷：`?x=<script>alert(1)</script>`。✅ 若弹窗，即存在漏洞。
Q8官方修了吗？（补丁/缓解）
✅ **官方已修复**：OpenCTI GitHub仓库有修复记录（未提供具体版本号）。🛡️ 建议升级至最新版。
Q9没补丁咋办？（临时规避）
🛡️ **临时规避**：1. 禁用`/graphql`端点（如非必需）。2. 使用WAF过滤`<script>`等标签。3. 对查询参数做HTML转义。
Q10急不急？（优先级建议）
🔥 **高优先级！** CVSS 5.4（中危），但因无需认证+用户点击即触发，实际风险高。📌 建议立即修复或临时缓解。