CVE-2025-2749 — 神龙十问 AI 深度分析摘要

🚨 **本质**：路径遍历 + 任意文件上传。 💥 **后果**：直接导致 **远程代码执行 (RCE)**，服务器沦陷。

🔍 **CWE-22**：路径遍历漏洞。 🐛 **缺陷点**：文件上传逻辑未严格校验路径，允许访问系统外目录。

🏢 **厂商**：Kentico。 📦 **产品**：Xperience 数字体验平台。 📅 **版本**：**13.0.178 及之前版本**均受影响。

👑 **权限**：最高权限（RCE）。 📂 **数据**：完全控制服务器，可窃取/篡改所有数据，横向移动。

🔐 **门槛**：需 **认证用户 (PR:H)**。 🚫 **UI交互**：无需用户交互 (UI:N)。 🌐 **网络**：远程可攻击 (AV:N)。

📜 **PoC**：数据中未提供公开 PoC。 🔗 **参考**：Watchtowr Labs 有技术描述，VulnCheck 有第三方建议，但无明确“在野利用”标记。

🔍 **自查**：检查 Kentico Xperience 版本是否 ≤ 13.0.178。 📡 **扫描**：关注文件上传接口的路径遍历特征，检测异常文件后缀或路径穿越请求。

🛡️ **官方**：有补丁！ 📥 **渠道**：访问 Kentico DevNet 下载 **Hotfixes** 进行升级修复。

🚧 **临时**：若无补丁，严格限制 **文件上传功能** 的访问权限。 🛑 **隔离**：对上传目录实施严格的 **路径遍历防护** 和 **MIME 类型校验**。

⚡ **优先级**：**高 (Critical)**。 💡 **建议**：CVSS 满分倾向，虽需认证，但 RCE 危害极大，**立即升级**至修复版本。