CVE-2025-12059 — 神龙十问 AI 深度分析摘要
CVSS 9.8 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：敏感信息泄露到外部可访问目录。💥 **后果**：攻击者可直接读取敏感数据，导致信息泄露、完整性破坏及系统可用性受损。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE**：CWE-538（信息泄露）。🐛 **缺陷点**：应用将敏感内容错误地写入或暴露在外部可访问的文件/目录中，且访问控制配置不当。
Q3影响谁？（版本/组件）
🏢 **厂商**：Logo Software (土耳其)。📦 **产品**：Logo j-Platform。📅 **版本**：3.29.6.4 至 13112025 版本均受影响。
Q4黑客能干啥？（权限/数据）
🕵️ **黑客能力**：无需认证即可访问。📂 **数据风险**：可获取高敏感信息（C:H），篡改数据（I:H），甚至破坏服务（A:H）。
Q5利用门槛高吗？（认证/配置）
📉 **门槛**：极低。🔓 **条件**：网络可访问（AV:N）、无需权限（PR:N）、无需用户交互（UI:N）。只要配置不当即可利用。
Q6有现成Exp吗？（PoC/在野利用）
🚫 **现状**：暂无公开 PoC 或 Exp。📰 **来源**：仅土耳其 USOM 发布 advisory，目前无在野利用报告。
Q7怎么自查？（特征/扫描）
🔎 **自查**：检查 j-Platform 安装目录下的外部可访问文件夹。📂 **特征**：查找包含敏感配置、日志或密钥的意外暴露文件。
Q8官方修了吗？（补丁/缓解）
🛡️ **官方**：数据未提供具体补丁链接。⚠️ **建议**：参考土耳其 USOM 官方通告 (tr-26-0061) 获取最新修复指南。
Q9没补丁咋办？（临时规避）
🛑 **临时规避**：严格限制 Web 服务器对敏感目录的访问权限。🚫 **配置**：确保外部目录不可通过 HTTP/HTTPS 直接访问，实施最小权限原则。
Q10急不急？（优先级建议）
🔥 **优先级**：极高。📈 **CVSS**：9.1 (Critical)。🚀 **行动**：立即隔离受影响实例，优先修复访问控制配置，防止敏感数据裸奔。