CVE-2025-53624
— 神龙十问 AI 深度分析摘要
CVSS 10.0 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →
Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：Docusaurus Gists 插件在构建时，将 GitHub 令牌硬编码进前端 JS 包。
💥 **后果**：访问网站源码即可窃取令牌，导致**严重信息泄露**，甚至被用于恶意操作。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE**：CWE-200 (信息泄露)。
🐛 **缺陷**：构建配置不当。本应仅用于**服务端构建时**的 API 令牌，被错误地打包进了**客户端可见**的 JavaScript 文件中。
Q3影响谁？（版本/组件）
📦 **组件**：`docusaurus-plugin-content-gists`。
👤 **厂商**：Webber Takken。
📉 **版本**：**4.0.0 之前**的所有版本均受影响。
Q4黑客能干啥？（权限/数据）
🕵️ **黑客能力**：
1. 获取**GitHub Personal Access Token (PAT)**。
2. 利用该令牌访问 GitHub API。
3. 可能读取私有 Gist、仓库信息，甚至执行受限操作（取决于令牌权限）。
Q5利用门槛高吗？（认证/配置）
🚪 **门槛**：**极低**。
🔓 **无需认证**：任何能访问该 Docusaurus 网站的人，只需“查看网页源代码”即可找到令牌。
🌐 **远程利用**：完全远程，无需本地访问。
Q6有现成Exp吗？（PoC/在野利用）
🧪 **PoC**：有。
📜 **来源**：ProjectDiscovery Nuclei 模板已发布 (`CVE-2025-53624.yaml`)。
🔥 **在野**：数据未显示大规模在野利用，但工具链已就绪。
Q7怎么自查？（特征/扫描）
🔎 **自查方法**：
1. 检查 `docusaurus.config.js` 中是否配置了 Gists 插件。
2. 检查插件版本是否 < 4.0.0。
3. 扫描构建产物（JS 文件）中是否包含 `ghp_` 或类似 GitHub Token 字符串。
Q8官方修了吗？（补丁/缓解）
🛡️ **已修复**：是。
📌 **补丁**：升级到 **4.0.0 或更高版本**。
🔗 **详情**：参考 GitHub Security Advisory (GHSA-qf34-qpr4-5pph)。
Q9没补丁咋办？（临时规避）
⚠️ **临时规避**：
1. **立即升级**插件至最新版。
2. 若无法升级，**移除**该插件。
3. **轮换**已泄露的 GitHub Token（撤销旧令牌，生成新令牌）。
Q10急不急？（优先级建议）
🔥 **优先级**：**高**。
📊 **CVSS**：3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H (严重)。
💡 **建议**：立即排查并升级，防止敏感凭据被滥用。