CVE-2020-5284
— 神龙十问 AI 深度分析摘要
CVSS 4.4 · Medium
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →
Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：ZEIT Next.js 存在**路径遍历漏洞**。
📉 **后果**：攻击者可访问**受限目录之外**的位置，导致**本地文件包含**风险。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE**：CWE-23（路径遍历）。
🐛 **缺陷**：未能正确过滤资源或文件路径中的**特殊元素**，导致路径解析错误。
Q3影响谁？（版本/组件）
📦 **组件**：ZEIT Next.js。
📅 **版本**：**9.3.2 之前**的所有版本均受影响。
Q4黑客能干啥？（权限/数据）
🕵️ **黑客能力**：通过构造特殊请求，访问 **dist 目录 (.next)** 内的文件。
⚠️ **注意**：通常仅限构建资产，除非应用故意将其他敏感资产存于此目录。
Q5利用门槛高吗？（认证/配置）
🔐 **门槛**：**中等**。
📝 **条件**：CVSS 显示需要 **低权限 (PR:L)** 和 **用户交互 (UI:R)**，攻击向量网络 (AV:N)。
Q6有现成Exp吗？（PoC/在野利用）
💻 **Exp/PoC**：**有**。
🔗 提供有 Nuclei 模板和 Xray 插件的 PoC 文件，可直接用于检测。
Q7怎么自查？（特征/扫描）
🔎 **自查方法**：
1. 检查 Next.js 版本是否 < 9.3.2。
2. 使用提供的 Nuclei/Xray 模板扫描 `.next` 目录访问请求。
Q8官方修了吗？（补丁/缓解）
🛡️ **官方修复**：**已修复**。
🚀 **方案**：升级至 **v9.3.2** 或更高版本即可解决。
Q9没补丁咋办？（临时规避）
🛑 **临时规避**：
1. **升级**是最佳方案。
2. 若无法升级，确保 **dist 目录 (.next)** 中不存放敏感数据，并限制对该目录的直接访问。
Q10急不急？（优先级建议）
⚡ **优先级**：**中/高**。
💡 **建议**：虽然 CVSS 分数不高且影响范围主要限于 dist 目录，但作为知名框架漏洞，建议**尽快升级**以消除隐患。