CVE-2026-23966 — 神龙十问 AI 深度分析摘要
CVSS 9.1 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：sm-crypto 库 SM2 解密逻辑存在缺陷。 💥 **后果**：可能导致 **私钥恢复**，引发严重数据伪造。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE**：CWE-345 (缺乏完整性检查)。 🐛 **缺陷点**：SM2 解密过程未正确验证数据完整性，导致可被伪造。
Q3影响谁？（版本/组件）
📦 **组件**：sm-crypto (由 JuneAndGreen 开发)。 ⚠️ **版本**：**0.3.14 之前**的所有版本均受影响。
Q4黑客能干啥？（权限/数据）
🕵️ **黑客能力**：利用解密逻辑缺陷进行 **数据伪造**。 🔑 **核心风险**：可能通过特定攻击手段 **恢复私钥**，彻底破坏加密安全性。
Q5利用门槛高吗？（认证/配置）
🚪 **利用门槛**：**低**。 📊 **CVSS**：AV:N (网络可攻击), AC:L (低复杂度), PR:N (无需权限), UI:N (无需用户交互)。
Q6有现成Exp吗？（PoC/在野利用）
💣 **Exp/PoC**：当前漏洞数据中 **无** 公开 PoC 或已知在野利用记录。 🔗 **参考**：见 GitHub 安全公告链接。
Q7怎么自查？（特征/扫描）
🔎 **自查方法**：检查项目依赖列表。 📝 **特征**：若 package.json 中 sm-crypto 版本 **< 0.3.14**，即存在风险。
Q8官方修了吗？（补丁/缓解）
🛡️ **官方修复**：已发布修复。 🔗 **补丁**：参考 GitHub 提交记录 b1c824e...，建议升级至 **0.3.14 或更高** 版本。
Q9没补丁咋办？（临时规避）
⏳ **临时规避**：若无法立即升级，建议 **限制 SM2 解密场景** 的信任来源，或引入额外的 **完整性校验层** 进行防御。
Q10急不急？（优先级建议）
🔥 **优先级**：**高**。 💡 **建议**：CVSS 评分高 (C:H, I:H)，私钥泄露风险极大，建议 **立即升级** 至安全版本。