CVE-2023-48371
— 神龙十问 AI 深度分析摘要
CVSS 9.8 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →
Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：文件上传功能未限制危险类型。
💥 **后果**：攻击者可上传并运行任意可执行文件，导致**任意命令执行**或**服务中断**。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE**：CWE-434 ( unrestricted file upload )。
📍 **缺陷点**：系统对上传文件的**类型检查缺失**，允许上传可执行文件。
Q3影响谁？（版本/组件）
🏢 **厂商**：ITPison (中国)。
📦 **产品**：OMICARD EDM v6.0.1.5 (高速电子报行销发送系统)。
Q4黑客能干啥？（权限/数据）
👑 **权限**：远程攻击者无需认证。
📂 **数据/影响**：可执行**任意系统命令**，完全控制服务器或导致**拒绝服务**。
Q5利用门槛高吗？（认证/配置）
📉 **门槛**：极低。
🔑 **条件**：CVSS评分显示 **AV:N** (网络), **AC:L** (低复杂度), **PR:N** (无需权限), **UI:N** (无需用户交互)。
Q6有现成Exp吗？（PoC/在野利用）
📜 **PoC**：数据中未提供公开 PoC。
🌍 **在野**：暂无明确在野利用报告，但漏洞性质高危，需警惕。
Q7怎么自查？（特征/扫描）
🔎 **自查**：检查文件上传接口。
🛡️ **验证**：尝试上传 `.exe` 或 `.sh` 等危险后缀文件，观察系统是否拦截。
Q8官方修了吗？（补丁/缓解）
🩹 **补丁**：数据未提及官方具体补丁版本。
📢 **建议**：参考 TW-CERT 公告，联系厂商获取最新安全更新。
Q9没补丁咋办？（临时规避）
🚧 **临时规避**：
1. 禁用或限制文件上传功能。
2. 在 Web 服务器层配置**白名单**，严格限制上传目录执行权限。
3. 隔离上传目录，禁止脚本执行。
Q10急不急？（优先级建议）
🔥 **优先级**：**极高**。
⚠️ **理由**：CVSS 满分风险 (C:H/I:H/A:H)，远程无需认证即可**完全控制**，建议立即修复或实施严格缓解措施。