CVE-2025-8913 — 神龙十问 AI 深度分析摘要

🚨 **本质**：本地文件包含 (LFI) 漏洞。 💥 **后果**：攻击者可执行**任意代码**，系统彻底沦陷。

🔍 **CWE-98**：管理不当的**文件路径**。 ⚠️ **缺陷**：未严格校验用户输入的文件名，导致包含恶意本地文件。

🏢 **厂商**：WellChoose (葳桥资讯)。 📦 **产品**：Organization Portal System (电子目录服务系统)。

🔓 **权限**：获得**系统级**执行权限。 📂 **数据**：完全控制服务器，可窃取/篡改所有数据。

📉 **门槛低**：CVSS 3.1 评分极高。 🚫 **无需**：认证 (PR:N) 或用户交互 (UI:N)，网络可达即可利用。

🚫 **无现成**：数据中 `pocs` 为空。 👀 **状态**：暂无公开 PoC 或确认的在野利用报告。

🔎 **扫描**：检测目录遍历特征 (如 `../`)。 📡 **指纹**：识别 WellChoose 产品特有的页面或响应头。

🛡️ **官方**：参考 TW-CERT 链接。 📝 **建议**：立即查阅官方公告获取最新补丁或缓解措施。

🛑 **临时**：限制网络访问 (WAF/防火墙)。 🔒 **隔离**：禁止外部直接访问该门户系统，最小化暴露面。

🔥 **极急**：CVSS 满分风险 (C:H/I:H/A:H)。 ⚡ **行动**：立即视为高危，优先修复或隔离，勿存侥幸心理。