CVE-2025-26344 — 神龙十问 AI 深度分析摘要

🚨 **本质**：Q-Free MAXTIME Suite 存在**访问控制错误**。 🔥 **后果**：攻击者可绕过认证，直接启用**无密码访客模式**，彻底丧失系统安全性。

🛡️ **CWE**：CWE-306（缺少身份验证）。 🔍 **缺陷点**：关键功能 `maxprofile/guest-mode/routes.lua` **未实施身份验证机制**。

🏢 **厂商**：Q-Free。 📦 **产品**：MaxTime（本地交通信号管理软件）。 ⚠️ **版本**：**2.11.0 及之前版本**均受影响。

👮 **权限**：获得**访客模式**访问权，无需密码。 💾 **数据**：CVSS 评分显示 **C:H/I:H/A:H**，意味着机密性、完整性、可用性均面临**高危**风险。

🚪 **门槛**：**极低**。 🔑 **认证**：**PR:N**（无需权限/认证）。 🌐 **网络**：**AV:N**（网络远程利用）。 🖱️ **交互**：**UI:N**（无需用户交互）。

📜 **PoC**：当前数据中 **pocs 为空**，暂无公开代码。 🌍 **在野**：数据未提及在野利用，但鉴于利用简单，风险极高。

🔍 **自查特征**：检查是否存在 `maxprofile/guest-mode/routes.lua` 文件。 📡 **扫描**：尝试发送特制 HTTP 请求，看是否能直接触发访客模式。

🛠️ **补丁**：数据中未提供具体补丁链接或版本号。 📅 **时间**：2025-02-12 发布，建议立即联系厂商获取修复方案。

🚧 **临时规避**：由于涉及交通信号管理，**严禁**直接暴露在互联网。 🔒 **措施**：实施严格的**网络隔离**，限制对 MAXTIME Suite 的访问来源。

🚨 **优先级**：**紧急**。 📊 **评分**：CVSS **9.8**（Critical）。 💡 **建议**：立即隔离受影响系统，优先排查 `routes.lua` 相关配置。