CVE-2024-37901
— 神龙十问 AI 深度分析摘要
CVSS 10.0 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →
Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：XWiki 存在远程代码执行 (RCE) 漏洞。
💥 **后果**：攻击者可利用编辑权限，在用户配置文件或页面中注入恶意实例，直接**执行任意远程代码**，彻底接管系统。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE**：CWE-95（代码注入）。
📍 **缺陷点**：系统未对通过编辑权限添加的“相关实例”进行充分的安全过滤或沙箱隔离，导致恶意代码被解析执行。
Q3影响谁？（版本/组件）
📦 **产品**：XWiki Platform。
📅 **受影响版本**：
- 9.2-rc-1 至 14.10.21 之前
- 15.0-rc-1 至 15.5.5 之前
- 15.6-rc-1 至 15.10.2 之前
Q4黑客能干啥？（权限/数据）
👮 **权限**：拥有**编辑权限**的任何用户。
📂 **数据/影响**：
- **完全控制**：执行任意命令。
- **数据泄露**：读取敏感数据。
- **服务中断**：破坏系统可用性。
- **横向移动**：以服务器权限进一步渗透内网。
Q5利用门槛高吗？（认证/配置）
🚪 **门槛**：中等。
🔑 **认证**：需要**编辑权限**（非匿名，但普通用户即可）。
🖱️ **UI交互**：无需用户点击（UI:N），只需编辑页面/配置即可触发。
Q6有现成Exp吗？（PoC/在野利用）
💣 **PoC**：数据中未提供公开 PoC 链接。
🌍 **在野利用**：暂无明确在野利用报告，但鉴于 CVSS 高分，风险极高，需警惕。
Q7怎么自查？（特征/扫描）
🔎 **自查方法**：
1. 检查 XWiki 版本是否在受影响列表中。
2. 审计拥有**编辑权限**的用户列表。
3. 扫描页面或用户配置中是否包含异常的 Groovy/Velocity 脚本或恶意实例引用。
Q8官方修了吗？（补丁/缓解）
🛡️ **官方修复**：已修复。
📝 **补丁**：参考 GitHub 安全公告 (GHSA-h63h-5c77-77p5) 及后续提交记录。
✅ **建议**：立即升级至受影响版本之后的最新安全版本。
Q9没补丁咋办？（临时规避）
🚧 **临时规避**：
1. **收紧权限**：移除普通用户的“编辑”权限，仅保留管理员。
2. **禁用脚本**：如果可能，禁用页面中的脚本执行功能。
3. **网络隔离**：限制对 XWiki 服务的访问来源。
Q10急不急？（优先级建议）
🔥 **优先级**：**紧急 (Critical)**。
📊 **CVSS**：9.8 (AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H)。
💡 **建议**：立即打补丁！这是典型的“低门槛、高危害”漏洞，极易被自动化脚本利用。