CVE-2020-37186 — 神龙十问 AI 深度分析摘要

🚨 **本质**：Chevereto 图床程序存在**代码注入漏洞**。💥 **后果**：攻击者可利用数据库表前缀参数处理不当，实现**远程代码执行 (RCE)**，直接接管服务器。

🔍 **CWE**：CWE-94 (代码注入)。📍 **缺陷点**：**数据库表前缀参数**处理逻辑存在缺陷，未对输入进行严格过滤，导致恶意代码注入。

🎯 **受影响产品**：**Chevereto** (图床程序)。📦 **具体版本**：**3.13.4 Core** 版本。⚠️ 其他版本需自行验证，但此版本高危。

👑 **权限**：**远程代码执行 (RCE)**。📂 **数据**：可完全控制服务器，读取/篡改/删除所有数据。📉 **CVSS**：3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H (满分10分，极高危)。

🚪 **利用门槛**：**极低**。🌐 **网络**：远程利用 (AV:N)。🔑 **认证**：无需认证 (PR:N)。👀 **交互**：无需用户交互 (UI:N)。🎯 **复杂度**：低 (AC:L)。

💣 **Exploit**：**有**。📚 **来源**：ExploitDB (ID: 47903)。🔗 **参考**：VulnCheck 已发布安全公告。⚠️ 存在公开利用代码，风险极高。

🔎 **自查方法**：检查服务器是否运行 **Chevereto 3.13.4**。🛠️ **扫描**：使用 WAF 或漏洞扫描器检测针对数据库表前缀参数的注入请求。📝 **日志**：监控异常的系统命令执行日志。

🛡️ **官方修复**：建议立即检查 **Chevereto Free GitHub Releases**。📥 **行动**：升级至最新安全版本。🔗 **参考**：[Chevereto Releases](https://github.com/Chevereto/Chevereto-Free/releases)。

🚧 **临时规避**：若无补丁，立即**限制访问权限** (WAF/防火墙)。🚫 **阻断**：拦截针对数据库配置参数的恶意注入请求。🔄 **隔离**：将图床服务与核心业务隔离。

🔥 **优先级**：**紧急 (P0)**。📉 **风险**：CVSS 满分，无需认证即可 RCE。⚡ **建议**：立即修复或隔离，防止服务器被完全控制。