CVE-2023-38054
— 神龙十问 AI 深度分析摘要
CVSS 9.9 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →
Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：Easy!Appointments 存在**不安全的授权问题**。
📉 **后果**：低权限攻击者可**获取、修改或删除**其他低权限用户（客户）数据。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE**：CWE-639（授权问题）。
📍 **缺陷点**：`/customers/{customerId}` 接口缺乏正确的权限校验。
Q3影响谁？（版本/组件）
📦 **产品**：Easy!Appointments。
🌐 **类型**：基于 Web 的预约、日程管理系统。
Q4黑客能干啥？（权限/数据）
🕵️ **黑客能力**：
- **读取**客户信息
- **篡改**客户数据
- **删除**客户记录
👉 针对**低权限用户**之间的横向越权。
Q5利用门槛高吗？（认证/配置）
🔓 **门槛低**：
- **认证**：需要低权限登录（PR:L）
- **复杂度**：低（AC:L）
- **交互**：无需用户交互（UI:N）
Q6有现成Exp吗？（PoC/在野利用）
📜 **Exp/PoC**：当前数据中**无**公开 PoC 或已知在野利用报告。
🔗 参考：[GitHub 官方仓库](https://github.com/alextselegidis/easyappointments)
Q7怎么自查？（特征/扫描）
🔎 **自查特征**：
- 检查 `/customers/{customerId}` 接口
- 验证不同账号间的数据隔离
- 扫描是否存在 IDOR（不安全的直接对象引用）
Q8官方修了吗？（补丁/缓解）
🛡️ **官方修复**：数据未提供具体补丁版本。
⚠️ 建议查阅 [GitHub Issues](https://github.com/alextselegidis/easyappointments) 获取最新修复方案。
Q9没补丁咋办？（临时规避）
🚧 **临时规避**：
- 限制 `/customers/` 接口访问
- 实施严格的**对象级权限校验**
- 启用 WAF 规则拦截异常 ID 遍历
Q10急不急？（优先级建议）
🔥 **优先级**：**高**。
📊 **CVSS**：3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H（严重）。
💡 **建议**：立即排查授权逻辑，防止数据泄露。