CVE-2025-26341 — 神龙十问 AI 深度分析摘要

🚨 **本质**：Q-Free MAXTIME Suite 存在**访问控制错误**。关键功能缺少身份验证。💥 **后果**：攻击者可重置任意用户密码，导致系统被完全接管。

🛡️ **CWE**：CWE-306（缺少身份验证）。📍 **缺陷点**：`maxprofile/accounts/routes.lua` 脚本中的关键接口未校验权限。

🏢 **厂商**：Q-Free。📦 **产品**：MaxTime（交通信号管理软件）。📅 **版本**：**2.11.0 及之前版本**均受影响。

🔓 **权限**：无需认证即可操作。💾 **数据**：可重置**任意用户**密码。👑 **影响**：CVSS 评分极高（H/H/H），意味着机密性、完整性、可用性均遭**严重破坏**。

📉 **门槛**：**极低**。🌐 **网络**：远程利用（AV:N）。🔑 **认证**：无需任何凭证（PR:N/UI:N）。🎯 **复杂度**：低（AC:L）。

📜 **Exp**：目前暂无公开 PoC。🌍 **在野**：暂无在野利用报告。⚠️ **注意**：虽无现成工具，但利用逻辑简单，极易编写。

🔍 **自查**：检查是否存在 `maxprofile/accounts/routes.lua` 文件。📡 **扫描**：监测针对该路径的特制 HTTP 请求。🚩 **特征**：未授权访问尝试。

🛠️ **补丁**：数据中未提及官方补丁链接。📢 **建议**：立即联系 Q-Free 获取最新安全更新或官方缓解措施。

🚧 **临时规避**：1. **网络隔离**：禁止该服务暴露在互联网。2. **WAF 防护**：拦截对 `/accounts/routes` 的未授权请求。3. **最小权限**：限制访问源 IP。

🔥 **优先级**：**紧急**（Critical）。📉 **风险**：CVSS 3.1 满分风险。⚡ **行动**：鉴于无需认证且后果严重，建议**立即**采取隔离或缓解措施。