CVE-2024-31996 — 神龙十问 AI 深度分析摘要

🚨 **本质**：XWiki 转义工具失效，未转义 `{` 字符。<br>🔥 **后果**：导致 **XWiki 语法注入**，最终引发 **远程代码执行 (RCE)**。

🔍 **CWE**：CWE-95 (代码注入)。<br>🐛 **缺陷点**：转义逻辑遗漏，特定场景下 `{` 未被正确过滤，被解析为执行指令。

📦 **厂商**：XWiki。<br>🧩 **组件**：xwiki-commons。<br>🌐 **产品**：XWiki Platform（用于创建 Web 协作应用的 Wiki 平台）。

👮 **权限**：攻击者可获得 **完全控制权**。<br>💾 **数据**：可读取、修改、删除所有数据。<br>💥 **范围**：CVSS 评分极高 (H/H/H)，影响完整性、机密性和可用性。

⚡ **门槛**：极低。<br>🔓 **认证**：无需认证 (PR:N)。<br>🌍 **网络**：网络可访问 (AV:N)。<br>🎯 **复杂度**：低 (AC:L)，无需用户交互 (UI:N)。

📜 **PoC**：数据中 `pocs` 字段为空，暂无公开现成 Exp。<br>🌍 **在野**：未提及在野利用。<br>🔗 **参考**：GitHub Advisory 已确认 (GHSA-hf43-47q4-fhq5)。

🔎 **自查**：检查是否运行 XWiki Platform。<br>📡 **扫描**：检测 `xwiki-commons` 组件版本。<br>📝 **特征**：关注包含 `{` 的 XWiki 语法输入点，看是否触发异常解析。

🛡️ **状态**：已修复。<br>🔧 **补丁**：GitHub 已发布修复提交 (commit b94142e... 和 ed7ff51...)。<br>📌 **链接**：详见 GitHub Security Advisories。

⚠️ **临时规避**：若无法立即升级，需严格限制对 XWiki 的 **网络访问**。<br>🚫 **配置**：禁用不必要的 XWiki 语法解析功能，或配置 WAF 拦截包含 `{` 的恶意注入载荷。

🔥 **优先级**：**紧急 (Critical)**。<br>📉 **风险**：CVSS 向量显示为最高危 (AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H)。<br>🚀 **建议**：立即升级至修复版本，防止 RCE 发生。