CVE-2024-0195 — 神龙十问 AI 深度分析摘要
CVSS 6.3 · Medium
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：代码注入漏洞 (Code Injection)。 💥 **后果**：攻击者可远程执行任意代码，导致服务器被完全接管。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE**：CWE-94 (Improper Control of Generation of Code)。 📍 **缺陷点**：`FunctionController.java` 中的 `FunctionService.saveFunction` 函数未正确过滤用户输入。
Q3影响谁？（版本/组件）
📦 **产品**：spider-flow (开源爬虫平台)。 🏷️ **版本**：0.4.3 版本存在风险。
Q4黑客能干啥？（权限/数据）
👑 **权限**：远程代码执行 (RCE)。 📂 **数据**：攻击者可完全控制应用，窃取数据或植入后门。
Q5利用门槛高吗？（认证/配置）
🔑 **门槛**：需 **本地权限 (PR:L)**。 ⚙️ **配置**：无需用户交互 (UI:N)，攻击复杂度低 (AC:L)。
Q6有现成Exp吗？（PoC/在野利用）
💻 **Exp**：有现成 PoC。 🔗 **来源**：GitHub 上多个仓库 (如 Cappricio-Securities, fa-rrel 等) 已公开利用代码。
Q7怎么自查？（特征/扫描）
🔎 **自查**：扫描 spider-flow 0.4.3 实例。 📝 **特征**：检查 `FunctionService.saveFunction` 接口是否可被恶意构造请求触发。
Q8官方修了吗？（补丁/缓解）
🛡️ **补丁**：数据未提及官方具体补丁链接。 💡 **建议**：参考 GitHub 上的修复方案或升级至安全版本。
Q9没补丁咋办？（临时规避）
🚧 **规避**：限制访问权限，仅允许可信 IP 访问。 🔒 **加固**：对输入进行严格白名单校验，禁止执行系统命令。
Q10急不急？（优先级建议）
⚡ **优先级**：**高**。 📉 **CVSS**：3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L。 📢 **行动**：立即排查并修复，防止服务器沦陷。