CVE-2026-32306 — 神龙十问 AI 深度分析摘要

🚨 **本质**：SQL注入 (SQLi)。 🔥 **后果**：攻击者可注入恶意SQL，导致**数据库读取、数据篡改**甚至**远程代码执行 (RCE)**。

🔍 **CWE-89**：SQL注入漏洞。 📍 **缺陷点**：**遥测聚合API**未对输入进行过滤，直接将用户参数拼接到 **ClickHouse** 查询语句中。

📦 **产品**：OneUptime (开源监控解决方案)。 📅 **版本**：**10.0.23 之前**的所有版本均受影响。

👮 **权限**：需**经过身份验证**的用户权限。 💾 **数据**：可**任意读取**数据库内容，**修改**数据，甚至通过数据库扩展实现**RCE**。

🚪 **门槛**：**中等**。 ✅ **要求**：攻击者必须拥有**有效的登录账号** (PR:L)，无需用户交互 (UI:N)，网络可达 (AV:N)。

🧪 **Exp状态**：目前**无公开 PoC** (PoCs: [])。 🌍 **在野利用**：暂无证据表明存在在野利用，但风险极高。

🔎 **自查方法**： 1. 检查 OneUptime 版本是否 < 10.0.23。 2. 审计**遥测聚合API**接口，查看 ClickHouse 查询是否拼接了用户输入。 3. 使用 SQL 注入扫描工具针对该 API 进行测试。

🛡️ **官方修复**：已发布安全公告 (GHSA-p5g2-jm85-8g35)。 ✅ **补丁**：升级至 **10.0.23 或更高版本**即可修复。

⚠️ **临时规避**： 1. **升级**到最新版本是首选。 2. 若无法升级，限制遥测聚合API的访问权限，仅允许可信IP访问。 3. 实施严格的**输入验证**和**参数化查询** (若可修改源码)。

🔥 **优先级**：**高 (Critical)**。 💡 **建议**：CVSS 评分极高 (C:H/I:H/A:H)，一旦利用后果严重。建议**立即升级**或采取严格访问控制措施。