CVE-2025-53624 — 神龙十问 AI 深度分析摘要

🚨 **本质**：Docusaurus Gists 插件在构建时，将 GitHub 令牌硬编码进前端 JS 包。 💥 **后果**：访问网站源码即可窃取令牌，导致**严重信息泄露**，甚至被用于恶意操作。

🔍 **CWE**：CWE-200 (信息泄露)。 🐛 **缺陷**：构建配置不当。本应仅用于**服务端构建时**的 API 令牌，被错误地打包进了**客户端可见**的 JavaScript 文件中。

📦 **组件**：`docusaurus-plugin-content-gists`。 👤 **厂商**：Webber Takken。 📉 **版本**：**4.0.0 之前**的所有版本均受影响。

🕵️ **黑客能力**： 1. 获取**GitHub Personal Access Token (PAT)**。 2. 利用该令牌访问 GitHub API。 3. 可能读取私有 Gist、仓库信息，甚至执行受限操作（取决于令牌权限）。

🚪 **门槛**：**极低**。 🔓 **无需认证**：任何能访问该 Docusaurus 网站的人，只需“查看网页源代码”即可找到令牌。 🌐 **远程利用**：完全远程，无需本地访问。

🧪 **PoC**：有。 📜 **来源**：ProjectDiscovery Nuclei 模板已发布 (`CVE-2025-53624.yaml`)。 🔥 **在野**：数据未显示大规模在野利用，但工具链已就绪。

🔎 **自查方法**： 1. 检查 `docusaurus.config.js` 中是否配置了 Gists 插件。 2. 检查插件版本是否 < 4.0.0。 3. 扫描构建产物（JS 文件）中是否包含 `ghp_` 或类似 GitHub Token 字符串。

🛡️ **已修复**：是。 📌 **补丁**：升级到 **4.0.0 或更高版本**。 🔗 **详情**：参考 GitHub Security Advisory (GHSA-qf34-qpr4-5pph)。

⚠️ **临时规避**： 1. **立即升级**插件至最新版。 2. 若无法升级，**移除**该插件。 3. **轮换**已泄露的 GitHub Token（撤销旧令牌，生成新令牌）。

🔥 **优先级**：**高**。 📊 **CVSS**：3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H (严重)。 💡 **建议**：立即排查并升级，防止敏感凭据被滥用。