CVE-2026-10258
— 神龙十问 AI 深度分析摘要
CVSS 6.3 · Medium
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →
Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：SQL注入漏洞 (SQLi)。
💥 **后果**：攻击者可通过恶意构造的 `topic_id` 参数，绕过后端验证，直接执行任意 SQL 命令。可能导致数据库被拖库、篡改或删除。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE-89**：SQL注入。
📍 **缺陷点**：`/admin/add_sub_topic.php` 文件中的未知函数。
⚠️ **原因**：对输入参数 `topic_id` 缺乏严格的过滤或预处理，直接拼接到 SQL 查询语句中。
Q3影响谁？（版本/组件）
📦 **产品**：itsourcecode Content Management System。
🏷️ **版本**：V1.0。
📂 **组件**：后台管理模块 (`/admin/add_sub_topic.php`)。
Q4黑客能干啥？（权限/数据）
🕵️ **权限**：需登录后台（PR:L）。
💾 **数据**：可读取、修改、删除数据库内容。
🛠️ **操作**：可能进一步获取服务器权限（取决于数据库配置），完全控制网站后台数据。
Q5利用门槛高吗？（认证/配置）
🔑 **门槛**：中等。
✅ **条件**：需要有效的后台管理员账号（PR:L）。
🌐 **网络**：远程可利用（AV:N）。
🚫 **交互**：无需用户交互（UI:N）。
Q6有现成Exp吗？（PoC/在野利用）
💻 **Exp**：有。
📢 **来源**：GitHub issue (#5) 已公开相关利用代码。
🔥 **状态**：存在被实际攻击的风险（CTI 指标已收集）。
Q7怎么自查？（特征/扫描）
🔎 **自查**：
1. 检查是否存在 `/admin/add_sub_topic.php` 文件。
2. 审计该文件中 `topic_id` 参数的处理逻辑，看是否使用参数化查询。
3. 使用 SQLMap 等工具对后台接口进行自动化测试。
Q8官方修了吗？（补丁/缓解）
🛡️ **补丁**：数据中未提及官方已发布具体补丁链接。
📝 **建议**：需联系 itsourcecode 官方或查看其 GitHub 仓库获取最新修复版本。
Q9没补丁咋办？（临时规避）
🚧 **临时规避**：
1. **WAF 防护**：部署 Web 应用防火墙，拦截包含 SQL 关键字的 `topic_id` 请求。
2. **权限收紧**：限制后台访问 IP，仅允许内网或可信 IP 访问。
3. **代码修复**：手动修改 PHP 代码，使用预处理语句 (Prepared Statements) 绑定参数。
Q10急不急？（优先级建议）
⚡ **优先级**：高 (High)。
📊 **CVSS**：7.5 (AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L)。
💡 **理由**：虽然需要认证，但利用简单（AC:L），且 Exp 已公开。一旦后台账号泄露，后果严重。建议立即排查并加固。