CVE-2025-68110 — 神龙十问 AI 深度分析摘要

🚨 **本质**：错误消息泄露数据库信息。 💥 **后果**：敏感数据外泄，系统完整性与可用性受损。

🔍 **CWE**：CWE-200（信息泄露）。 📍 **缺陷**：错误处理不当，将底层数据库细节暴露给前端。

🏢 **厂商**：ChurchCRM。 📦 **产品**：CRM 系统。 ⚠️ **版本**：6.5.3 **之前**的所有版本。

🕵️ **黑客能力**：获取数据库结构/内容。 🔑 **权限**：需低权限（PR:L），但影响范围极大（S:C, C:H, I:H, A:H）。

🚪 **门槛**：中等。 🔐 **要求**：需要 **本地权限** (PR:L)。 🌐 **攻击向量**：网络 (AV:N)，无需用户交互 (UI:N)。

📜 **PoC**：数据中未提供现成 Exploit。 🌍 **在野**：暂无公开在野利用报告。

🔎 **自查**：检查系统报错页面。 📝 **特征**：查看错误日志或界面是否包含 **SQL语句** 或 **数据库路径**。

🛡️ **修复**：已发布安全公告。 🔗 **链接**：GitHub Advisory GHSA-82mq-xc2j-3qv2。 ✅ **建议**：升级至 **6.5.3** 或更高版本。

🚧 **临时规避**： 1. 自定义 **错误页面**，隐藏技术细节。 2. 配置 Web 服务器屏蔽详细报错。 3. 限制数据库账户权限。

⚡ **优先级**：高。 📊 **CVSS**：高危（向量显示完整性/可用性/机密性均受高影响）。 📅 **时间**：2025-12-17 公布，需尽快行动。