CVE-2025-10894
— 神龙十问 AI 深度分析摘要
CVSS 9.6 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →
Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：供应链攻击导致恶意代码注入。
💥 **后果**：恶意软件潜伏，扫描文件系统并窃取用户凭据。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE-506**：软件本身存在弱点。
⚠️ **缺陷点**：构建工具 **Nx** 被篡改，非代码逻辑漏洞，而是**信任链断裂**。
Q3影响谁？（版本/组件）
📦 **组件**：Nx 构建系统（Nx公司软件）。
🌍 **影响**：所有使用受影响版本 Nx 的开发者及项目。
Q4黑客能干啥？（权限/数据）
🕵️ **黑客能力**：
1. **扫描文件系统**。
2. **收集/窃取凭据**（账号密码等敏感信息）。
3. 完全控制受害环境。
Q5利用门槛高吗？（认证/配置）
🚪 **利用门槛**：
- **AV:N** (网络远程)
- **AC:L** (攻击简单)
- **PR:N** (无需权限)
- **UI:R** (需用户交互/安装)
👉 **极低**，只要安装/更新被污染包即可触发。
Q6有现成Exp吗？（PoC/在野利用）
🧪 **PoC**：数据中未提供公开 PoC。
🔥 **在野利用**：参考链接指向 Wiz 和 StepSecurity 的警报，暗示**已存在实际威胁**，需高度警惕。
Q7怎么自查？（特征/扫描）
🔎 **自查方法**：
1. 检查 `package-lock.json` 或 `yarn.lock`。
2. 确认 Nx 版本是否在受影响列表。
3. 扫描构建日志中的异常网络请求或文件访问。
Q8官方修了吗？（补丁/缓解）
🛡️ **官方修复**：
- GitHub 安全公告：**GHSA-cxm3-wv7p-598c**。
- 建议立即查阅官方公告并升级至安全版本。
Q9没补丁咋办？（临时规避）
⚠️ **临时规避**：
1. **锁定版本**：禁止自动更新 Nx。
2. **校验哈希**：验证 npm 包完整性。
3. **隔离环境**：对构建机进行网络隔离。
Q10急不急？（优先级建议）
🔥 **优先级**：**极高 (Critical)**。
- **CVSS 9.8** (接近满分)。
- **C:H/I:H/A:H** (机密性/完整性/可用性均高损)。
👉 **立即行动**：停止使用受影响版本，排查历史构建记录。