CVE-2024-21534 — 神龙十问 AI 深度分析摘要

🚨 **本质**：JSONPath Plus 库存在**远程代码执行 (RCE)** 漏洞。 💥 **后果**：攻击者可利用输入清理不当，在目标系统上**执行任意代码**，完全接管服务器。

🔍 **CWE**：CWE-94 (代码注入)。 🛑 **缺陷点**：**输入验证不严格**，且 Node.js VM 模块使用了**不安全的默认配置**，导致恶意 Payload 逃逸沙箱。

📦 **组件**：`jsonpath-plus`。 📉 **版本**：**10.0.7 之前**的所有版本均受影响（包括 10.0.0 等尝试修复的版本）。

👑 **权限**：获得**系统级执行权限**。 📂 **数据**：可读取、修改、删除任意文件，甚至控制整个 Node.js 进程，造成**机密性、完整性、可用性全面丧失**。

📶 **门槛**：**极低**。 🔓 **条件**：无需认证 (PR:N)，攻击复杂度低 (AC:L)，无需用户交互 (UI:N)，通过网络远程即可触发 (AV:N)。

🧨 **PoC**：**有现成 Exp**。 🔗 多个 GitHub 仓库（如 `pabloopez`, `XiaomingX`, `verylazytech`）已公开利用代码，验证了 RCE 可行性。

🔎 **自查**：检查项目 `package.json`。 👀 **特征**：若 `jsonpath-plus` 版本 **< 10.0.7**，即存在高危风险。建议使用 Snyk 或 npm audit 扫描。

🛡️ **补丁**：**已修复**。 ✅ **方案**：升级至 **10.0.7 或更高版本**。官方在 10.0.0 的修复被绕过，最终在 10.0.7 彻底解决。

⚠️ **临时规避**：若无法立即升级，建议**限制 VM 模块权限**，禁用 `sandbox` 中的危险 API，或暂时移除该依赖。

🔥 **优先级**：**极高 (CVSS 9.8)**。 🚀 **建议**：**立即修复**。这是 Critical 级别漏洞，且 PoC 公开，在野利用风险极大，建议 24 小时内完成升级。