CVE-2026-25150 — 神龙十问 AI 深度分析摘要
CVSS 9.3 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：Qwik 框架 `formToObj` 函数存在 **原型污染** 漏洞。 💥 **后果**：攻击者可污染 `Object.prototype`，导致 **权限提升**、**身份验证绕过** 或 **拒绝服务 (DoS)**。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE**：CWE-1321 (原型污染)。 📍 **缺陷点**：`formToObj` 函数在处理输入时未严格校验键名，允许恶意键覆盖原型属性。
Q3影响谁？（版本/组件）
📦 **厂商**：QwikDev。 🏷️ **产品**：Qwik 微前端框架。 ⚠️ **版本**：**Qwik 1.19.0 之前**的所有版本均受影响。
Q4黑客能干啥？（权限/数据）
🕵️ **黑客能力**： 1. **身份绕过**：篡改全局对象属性，可能绕过登录检查。 2. **权限提升**：利用污染属性改变应用逻辑。 3. **服务中断**：引发应用崩溃或异常行为 (DoS)。
Q5利用门槛高吗？（认证/配置）
🔓 **门槛**：**极低**。 🌐 **网络**：远程利用 (AV:N)。 🔑 **认证**：**无需身份验证** (PR:N)。 👀 **交互**：无需用户交互 (UI:N)。
Q6有现成Exp吗？（PoC/在野利用）
📜 **Exp/PoC**：当前数据中 **无公开 PoC** (pocs 为空)。 🌍 **在野利用**：暂无明确在野利用报告，但鉴于 CVSS 评分高，需警惕。
Q7怎么自查？（特征/扫描）
🔎 **自查方法**： 1. 检查 `package.json` 中 `qwik` 版本是否 **< 1.19.0**。 2. 审查代码中是否直接调用 `formToObj` 且未过滤用户输入。 3. 使用 SAST 工具扫描原型污染风险。
Q8官方修了吗？（补丁/缓解）
🛡️ **官方修复**：**已修复**。 🔗 **补丁链接**：[GitHub Commit](https://github.com/QwikDev/qwik/commit/5f65bae2bc33e6ca0c21e4cfcf9eae05077716f7) 📢 **公告**：[GHSA 安全公告](https://github.com/QwikDev/qwik/security/advisories/GHSA-xqg6-98cw-gxh…
Q9没补丁咋办？（临时规避）
🚧 **临时规避**： 1. **升级版本**至 1.19.0 或更高。 2. 若无法升级，**手动封装** `formToObj` 调用，增加输入校验逻辑，禁止直接赋值原型属性。 3. 部署 WAF 规则拦截异常 JSON 结构。
Q10急不急？（优先级建议）
🚨 **优先级**：**高**。 📊 **CVSS**：3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:H/A:L (严重性高，完整性破坏)。 💡 **建议**：立即升级框架，防止身份绕过和权限提升风险。