CVE-2020-37054 — 神龙十问 AI 深度分析摘要
CVSS 4.3 · Medium
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **跨站请求伪造（CSRF）漏洞**。攻击者诱导管理员点击恶意链接，**自动上传恶意扩展程序**，绕过验证，实现未授权操作。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE-352**：未验证请求来源。扩展上传功能**缺少CSRF令牌校验**，允许伪造请求。
Q3影响谁？（版本/组件）
⚠️ **Navigate CMS 2.8.7**。仅影响该版本，核心组件为**扩展管理模块**。
Q4黑客能干啥？（权限/数据）
💻 **管理员权限**。可上传任意文件（如PHP后门），**控制服务器**，窃取数据或横向移动。
Q5利用门槛高吗？（认证/配置）
🔓 **低门槛**。需管理员登录状态，但**无需额外配置或复杂操作**，诱导点击即可。
Q6有现成Exp吗？（PoC/在野利用）
🛠️ **有现成Exp**！ExploitDB #48548 提供HTML PoC，可直接构造攻击页面。
Q7怎么自查？（特征/扫描）
🔍 **自查方法**：检查扩展上传接口是否含CSRF Token；用工具扫描**/admin/extensions/upload**路径。
Q8官方修了吗？（补丁/缓解）
✅ **官方已修复**。建议升级至**2.8.8+**，或应用官方补丁（参考VulnCheck公告）。
Q9没补丁咋办？（临时规避）
🛡️ **临时规避**：禁用扩展上传功能；启用CSRF Token；添加二次确认弹窗。
Q10急不急？（优先级建议）
🔥 **高优先级！** 管理员权限+易利用=严重风险。**立即修复**，勿拖延！