CVE-2026-24874 — 神龙十问 AI 深度分析摘要

🚨 **本质**：STALKER-Anomaly-modded-exes 游戏引擎补丁存在**类型混淆**漏洞。 💥 **后果**：攻击者可利用不兼容类型访问资源，导致程序行为异常，可能引发**崩溃**或**任意代码执行**。

🔍 **CWE-843**：访问不兼容类型的资源。 📍 **缺陷点**：代码中对资源类型的处理逻辑存在缺陷，未进行严格的类型检查，导致**类型混淆**。

🎮 **产品**：xray-monolith (STALKER-Anomaly-modded-exes)。 👤 **厂商**：themrdemonized (Dmitry Chernyavsky)。 📅 **受影响版本**：**2025.12.30 之前**的所有版本。

🔓 **权限**：CVSS 评分显示 **C:H (高机密性)**, **I:H (高完整性)**。 💻 **能力**：攻击者可能获得**完全控制权**，读取敏感数据或篡改游戏状态，甚至执行恶意代码。

🚪 **利用门槛**：**低**。 📊 **CVSS 向量**： - **AV:N** (网络远程) - **AC:L** (攻击复杂度低) - **PR:N** (无需权限) - **UI:N** (无需用户交互) 👉 **结论**：远程攻击者无需认证即可利用。

📦 **PoC**：数据中 **pocs 为空**，暂无公开利用代码。 🌍 **在野利用**：未提及。 ⚠️ **注意**：虽无现成 Exp，但 CVSS 评分高，风险极大，需警惕。

🔎 **自查方法**： 1. 检查游戏补丁版本是否为 **2025.12.30 或更早**。 2. 扫描代码中是否存在**类型转换**或**资源访问**逻辑，特别是涉及 `xray-monolith` 引擎的部分。 3. 关注 GitHub PR #399 的修复内容。

🛡️ **官方修复**： - 参考链接：[GitHub PR #399](https://github.com/themrdemonized/xray-monolith/pull/399)。 - **状态**：已提交修复 Pull Request，建议合并并更新到最新版本。

🚧 **临时规避**： 1. **禁用网络功能**：如果可能，限制游戏引擎的网络访问。 2. **版本回退/升级**：确保使用 **2025.12.30 之后**的修复版本。 3. **输入验证**：开发者需加强资源访问时的类型检查。

⚡ **优先级**：**高**。 📈 **理由**：CVSS 3.1 评分隐含高危（C:H, I:H），且无需认证/用户交互即可远程利用。建议**立即升级**至修复版本。