CVE-2025-21628
— 神龙十问 AI 深度分析摘要
CVSS 9.1 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →
Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：Chatwoot 存在 **SQL注入 (SQLi)** 漏洞。
💥 **后果**：攻击者可通过构造恶意过滤器查询，注入并执行 **任意SQL命令**，导致数据泄露或系统被控。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE**：CWE-89 (SQL注入)。
🛠️ **缺陷点**：**输入清理不当**。系统未正确过滤用户输入的过滤器参数，导致SQL结构被篡改。
Q3影响谁？（版本/组件）
📦 **产品**：Chatwoot (开源客户参与套件)。
⚠️ **受影响版本**：**3.16.0 之前**的所有版本。
Q4黑客能干啥？（权限/数据）
🕵️ **黑客能力**：
1. **读取数据**：窃取用户信息、聊天记录等敏感数据。
2. **修改数据**：篡改业务数据。
3. **权限提升**：可能通过SQL注入进一步获取服务器权限。
Q5利用门槛高吗？（认证/配置）
🔑 **利用门槛**：**中等**。
✅ **无需认证**：UI:N (无需用户交互)。
⚠️ **需要低权限**：PR:L (需要低级别权限，如普通用户账号)。
🌐 **远程利用**：AV:N (网络可攻击)。
Q6有现成Exp吗？（PoC/在野利用）
💻 **PoC**：**有**。
🔗 **来源**：GitHub 上已有技术分析报告 (elahehasanpour/chatwoot-cve-2025-21628)，展示了如何通过添加重复的 WHERE 子句进行利用。
Q7怎么自查？（特征/扫描）
🔎 **自查方法**：
1. 检查 Chatwoot 版本是否 **< 3.16.0**。
2. 审查过滤器查询接口，看是否直接拼接用户输入。
3. 使用 SQL 注入扫描工具测试过滤器参数。
Q8官方修了吗？（补丁/缓解）
🛡️ **官方修复**：**已修复**。
📅 **发布时间**：2025-01-09。
🔗 **补丁链接**：GitHub Commit b34dac7 及安全公告 GHSA-g8f9-hh83-rcq9。
Q9没补丁咋办？（临时规避）
🚧 **临时规避**：
1. **立即升级**至 3.16.0 或更高版本。
2. 若无法升级，限制过滤器功能的访问权限。
3. 部署 WAF 规则拦截包含 SQL 关键字的过滤器请求。
Q10急不急？（优先级建议）
⚡ **优先级**：**高**。
📊 **CVSS**：3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:L/A:L。
💡 **建议**：鉴于 **远程可攻击** 且 **无需用户交互**，建议 **立即修补**，防止数据大规模泄露。