CVE-2020-37071 — 神龙十问 AI 深度分析摘要
CVSS 9.8 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：反序列化漏洞（Deserialization） 💥 **后果**：攻击者可执行 **任意PHP代码**，直接接管服务器控制权。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE**：CWE-502（不信任反序列化数据） 🐛 **缺陷点**：插件在处理 vCard 数据时，未对反序列化对象进行严格校验，导致恶意载荷注入。
Q3影响谁？（版本/组件）
🎯 **目标**：使用 **CraftCMS 3** 的开发者 📦 **组件**：**vCard Plugin** 📌 **版本**：仅限 **1.0.0** 版本
Q4黑客能干啥？（权限/数据）
👑 **权限**：获得 **PHP执行权限**（RCE） 📂 **数据**：可读取/修改服务器任意文件，窃取数据库凭证，甚至横向移动。
Q5利用门槛高吗？（认证/配置）
🚪 **门槛**：**极低** 🔑 **认证**：无需认证（PR:N） 🌐 **网络**：远程利用（AV:N） 🎭 **交互**：无需用户交互（UI:N）
Q6有现成Exp吗？（PoC/在野利用）
💣 **Exploit**：**有现成代码** 📂 **来源**：ExploitDB (ID: 48492) 及 GitLab 公开披露 ⚠️ **状态**：存在技术描述和利用脚本，在野风险高。
Q7怎么自查？（特征/扫描）
🔎 **自查**：检查 CraftCMS 插件列表 📋 **特征**：是否安装 **vCard Plugin** 且版本为 **1.0.0** 📡 **扫描**：使用 WAF 或漏洞扫描器检测反序列化攻击特征。
Q8官方修了吗？（补丁/缓解）
🛠️ **补丁**：数据未提及官方具体补丁链接 💡 **建议**：立即联系插件开发者 Nathaniel Hammond 或查看 CraftCMS 官方公告获取更新。
Q9没补丁咋办？（临时规避）
🛡️ **临时规避**： 1️⃣ **卸载**该插件（最推荐） 2️⃣ 若必须保留，**禁用** vCard 生成/导入功能 3️⃣ 配置 WAF 拦截包含 PHP 序列化特征的请求。
Q10急不急？（优先级建议）
🔥 **优先级**：**紧急 (Critical)** 📈 **CVSS**：9.8 (极高危) ⚡ **行动**：立即隔离受影响实例，优先卸载插件，防止被自动化脚本攻击。