CVE-2025-8857 — 神龙十问 AI 深度分析摘要

🚨 **本质**：硬编码凭证导致的信任管理失败。 💥 **后果**：攻击者可绕过验证，直接以管理员身份登录系统，完全接管医学影像数据。

🔍 **CWE**：CWE-798（使用硬编码凭证）。 📍 **缺陷点**：系统内部写死了管理员账号密码，未做动态管理或加密保护。

🏥 **厂商**：Changing（中国台湾全景）。 💻 **产品**：Clinic Image System（医学影像管理与显示系统）。

👑 **权限**：获取 **管理员** 权限。 📂 **数据**：可读取、修改或删除所有医学影像及患者隐私数据。

📉 **门槛**：极低。 🔓 **条件**：无需认证（PR:N），网络可达即可（AV:N），无需用户交互（UI:N）。

🚫 **Exp**：当前无公开 PoC 或脚本。 🌍 **在野**：暂无在野利用报告，但风险极高。

🔎 **自查**：检查系统是否使用默认/硬编码的管理员凭据。 📡 **扫描**：尝试使用已知硬编码账号密码进行登录测试。

🛡️ **补丁**：数据未提供具体补丁链接。 📝 **建议**：参考官方公告（twcert.org.tw）获取最新修复方案。

⚠️ **规避**：立即修改默认管理员密码。 🔒 **隔离**：限制系统访问权限，仅允许内网特定IP访问，阻断外部直接连接。

🔥 **优先级**：P0（紧急）。 📊 **CVSS**：9.8（Critical）。 💡 **建议**：立即整改，防止医疗数据泄露。