CVE-2024-32736
— 神龙十问 AI 深度分析摘要
CVSS 7.5 · High
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →
Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：SQL注入漏洞 (SQLi)
📉 **后果**：敏感信息泄露
💡 **核心**：攻击者通过构造恶意SQL语句，绕过正常查询逻辑，直接读取数据库中的敏感数据。
Q2根本原因？（CWE/缺陷点）
🔍 **缺陷点**：`MCUDBHelper` 模块
📍 **具体位置**：`query_utask_verbose` 方法
⚠️ **原因**：输入未经验证或过滤，直接拼接到SQL查询中，导致数据库执行非预期命令。
Q3影响谁？（版本/组件）
🏢 **厂商**：CyberPower
📦 **产品**：PowerPanel Enterprise
📅 **受影响版本**：**v2.8.3 之前**的所有版本
🛠️ **组件**：MCUDBHelper 模块
Q4黑客能干啥？（权限/数据）
🕵️ **权限**：无需认证 (PR:N)
📂 **数据**：高机密性 (C:H)
💣 **能力**：攻击者可**泄露敏感信息**。虽然CVSS显示无完整性/可用性影响，但SQL注入通常可进一步扩展为数据窃取或篡改。
Q5利用门槛高吗？（认证/配置）
🚪 **门槛**：极低
✅ **认证**：无需认证 (PR:N)
🌐 **网络**：网络可访问 (AV:N)
🎯 **复杂度**：低 (AC:L)
👤 **用户交互**：无需用户交互 (UI:N)
📊 **CVSS评分**：高危，远程攻击者可直接利用。
Q6有现成Exp吗？（PoC/在野利用）
📜 **PoC**：有
🔗 **来源**：ProjectDiscovery Nuclei Templates
📂 **链接**：`http/cves/2024/CVE-2024-32736.yaml`
🔥 **在野**：数据未明确提及在野利用，但PoC已公开，利用风险高。
Q7怎么自查？（特征/扫描）
🔎 **扫描**：使用 Nuclei 模板扫描
📝 **特征**：针对 `query_utask_verbose` 接口的SQL注入测试
🛠️ **工具**：Nuclei (`nuclei -t CVE-2024-32736.yaml`)
📊 **检测**：检查响应中是否包含数据库错误信息或异常数据回显。
Q8官方修了吗？（补丁/缓解）
🛡️ **补丁**：官方已发布修复
📄 **参考**：CyberPower 发布安全更新 (SU-18070002-07)
📅 **时间**：2024-05-09 公布
✅ **建议**：立即升级至 **v2.8.3 或更高版本**。
Q9没补丁咋办？（临时规避）
🚧 **临时规避**：
1️⃣ **网络隔离**：限制对 PowerPanel Enterprise 的管理接口访问
2️⃣ **WAF防护**：部署Web应用防火墙，拦截SQL注入特征
3️⃣ **最小权限**：确保服务账户仅拥有数据库必要权限
⚠️ **注意**：SQL注入难以完全通过配置规避，补丁是唯一根治方案。
Q10急不急？（优先级建议）
🔥 **优先级**：高
📈 **理由**：无需认证、远程可利用、CVSS高分、PoC公开
🚀 **行动**：立即评估受影响资产，优先修补生产环境中的旧版本系统。