CVE-2023-45906 — 神龙十问 AI 深度分析摘要
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **跨站请求伪造（CSRF）漏洞**。攻击者可伪造管理员操作，**添加恶意用户**，绕过正常流程。
Q2根本原因？（CWE/缺陷点）
🛠️ **CWE-352**：缺少CSRF令牌校验。组件 `/admin/user/add` 未验证请求来源，允许伪造请求。
Q3影响谁？（版本/组件）
💻 **Dreamer CMS v4.1.3**。仅影响该版本。组件：`/admin/user/add` 用户添加功能。
Q4黑客能干啥？（权限/数据）
🔓 **可添加任意用户**。攻击者可创建管理员账号，**获取后台控制权**，进一步渗透系统。
Q5利用门槛高吗？（认证/配置）
🔐 **需认证**。攻击者需知道目标管理员登录状态，或诱导其点击恶意链接（钓鱼）。
Q6有现成Exp吗？（PoC/在野利用）
🔍 **无公开PoC**。参考链接为GitHub说明文档，非可执行Exploit。未见在野利用报告。
Q7怎么自查？（特征/扫描）
🔎 **自查方法**：检查 `/admin/user/add` 接口是否无CSRF令牌。用浏览器开发者工具抓包，看是否有Token字段。
Q8官方修了吗？（补丁/缓解）
🛠️ **未提供官方补丁**。漏洞数据中无修复版本或补丁信息。建议升级或自行加固。
Q9没补丁咋办？（临时规避）
🛡️ **临时规避**：禁用用户添加功能；启用CSRF Token；添加Referer校验；限制IP访问。
Q10急不急？（优先级建议）
⚠️ **高优先级**。一旦被利用，可导致系统沦陷。建议立即排查并加固，尤其对已部署系统。