CVE-2024-32641 — 神龙十问 AI 深度分析摘要

🚨 **本质**：Masa CMS 存在**代码注入**漏洞。 💥 **后果**：攻击者可利用 `addParam` 函数接受恶意输入，通过 `setDynamicContent` 执行任意代码，导致**远程代码执行 (RCE)**。

🔍 **CWE**：CWE-94 (代码注入)。 📍 **缺陷点**：`addParam` 函数未对用户输入进行严格过滤，直接传递给 `setDynamicContent` 进行评估执行。

🎯 **受影响版本**： - Masa CMS **7.2.8** 之前版本 - Masa CMS **7.3.13** 之前版本 - Masa CMS **7.4.6** 之前版本 🏢 **厂商**：MasaCMS

👑 **权限**：攻击者可获得**服务器级权限**。 📂 **数据**：可完全控制服务器，读取、修改或删除所有敏感数据，甚至植入后门。

🚪 **利用门槛**：**极低**。 - **网络访问**：AV:N (网络可攻击) - **复杂度**：AC:L (低) - **认证**：PR:N (无需认证) - **用户交互**：UI:N (无需用户交互) 📊 **CVSS**：3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H (高危)

📦 **Exp/PoC**：根据提供数据，**暂无**公开 PoC 或确认的在野利用报告。 🔗 **参考**：GitHub 提交记录及安全公告已发布。

🔎 **自查方法**： 1. 检查 CMS 版本是否低于修复版本。 2. 审计代码中 `addParam` 和 `setDynamicContent` 的使用。 3. 扫描器检测是否存在代码注入特征。

🛡️ **官方修复**：**已修复**。 📅 **发布时间**：2025-12-03。 🔗 **补丁链接**：GitHub Commit `fb27f82` 及安全公告 `GHSA-cj9g-v5mq-qrjm`。

⚠️ **临时规避**： - 立即升级到**最新版本**。 - 若无法升级，限制对 CMS 接口的**网络访问**。 - 实施**WAF**规则拦截代码注入载荷。

🔥 **优先级**：**紧急**。 - CVSS 评分极高，无需认证即可远程执行代码。 - 建议**立即**更新到安全版本，防止服务器被完全接管。