CVE-2026-23836 — 神龙十问 AI 深度分析摘要
CVSS 10.0 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：HotCRP 公式代码生成清理不足，导致**输入验证错误**。 💥 **后果**：攻击者可注入并执行**任意 PHP 代码**，彻底接管系统。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE**：CWE-20（输入验证错误）。 📍 **缺陷点**：代码生成阶段的**清理逻辑缺失**，未对输入进行严格过滤。
Q3影响谁？（版本/组件）
📦 **组件**：HotCRP Conference Review Software。 👤 **开发者**：Eddie Kohler。 ⚠️ **版本**：**3.2 之前**的所有版本均受影响。
Q4黑客能干啥？（权限/数据）
🔓 **权限**：可执行**任意 PHP 代码**。 📊 **数据**：CVSS 评分显示 **C:H / I:H / A:H**，意味着机密性、完整性、可用性均遭受**极高**危害，数据可被窃取或篡改。
Q5利用门槛高吗？（认证/配置）
🔑 **认证**：CVSS 向量显示 **PR:L**（需要低权限认证）。 🌐 **网络**：AV:N（网络可利用）。 👀 **UI**：UI:N（无需用户交互）。 ⚡ **结论**：门槛中等，需**合法账号**即可触发。
Q6有现成Exp吗？（PoC/在野利用）
📜 **PoC**：漏洞数据中 **pocs 为空**，暂无公开现成 Exp。 🌍 **在野**：无相关在野利用报告。
Q7怎么自查？（特征/扫描）
🔎 **自查**：检查 HotCRP 版本是否 **< 3.2**。 🛠️ **扫描**：检测服务器是否存在 HotCRP 服务，并验证其代码生成模块是否包含未清理的输入。
Q8官方修了吗？（补丁/缓解）
🛡️ **补丁**：官方已发布安全公告（GHSA-hpqh-j6qx-x57h）。 🔗 **修复**：GitHub 上已有相关提交记录（commit 4674fcf... 和 bfc7e0d...），建议**立即升级**。
Q9没补丁咋办？（临时规避）
🚧 **临时规避**：若无补丁，需严格限制**输入验证**逻辑。 🔒 **隔离**：限制 HotCRP 运行环境的**PHP 执行权限**，或暂时下线服务，直到升级完成。
Q10急不急？（优先级建议）
⚡ **优先级**：**高**。 📅 **时间**：2026-01-19 公布。 💡 **建议**：CVSS 分数极高（完整影响），且为远程代码执行类漏洞，务必**优先修复**，防止学术会议数据泄露。