CVE-2026-32633 — 神龙十问 AI 深度分析摘要
CVSS 9.1 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：Central Browser 模式下，`/api/4/serverslist` 接口**未做身份验证**。 🔥 **后果**：直接暴露包含 **HTTP Basic 凭据** 的服务器对象，导致下游服务器凭据泄露。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE**：CWE-200（信息泄露）。 🐛 **缺陷**：API 端点缺乏访问控制，敏感数据（凭据）被错误地包含在响应中。
Q3影响谁？（版本/组件）
📦 **厂商**：nicolargo。 🏷️ **产品**：Glances（系统监测工具）。 ⚠️ **版本**：**4.5.2 之前**的所有版本。
Q4黑客能干啥？（权限/数据）
🕵️ **黑客能力**：无需登录，直接检索受保护下游服务器的**可重用凭据**。 🔓 **权限**：获取 HTTP Basic 认证信息，可能进一步横向移动。
Q5利用门槛高吗？（认证/配置）
📉 **门槛**：**极低**。 🔑 **认证**：**PR:N**（无需权限）。 🌐 **访问**：**AV:N**（网络远程）。 🖱️ **交互**：**UI:N**（无需用户交互）。
Q6有现成Exp吗？（PoC/在野利用）
📜 **Exp**：当前 **无公开 PoC**（pocs 列表为空）。 🌍 **在野**：暂无在野利用报告。
Q7怎么自查？（特征/扫描）
🔎 **自查**：检查 Glances 是否运行在 **Central Browser** 模式。 📡 **扫描**：尝试访问 `/api/4/serverslist`，看返回 JSON 中是否包含 `username/password` 字段。
Q8官方修了吗？（补丁/缓解）
✅ **补丁**：已修复。 📥 **版本**：升级至 **v4.5.2** 或更高版本。 🔗 **参考**：GitHub Advisory GHSA-r297-p3v4-wp8m。
Q9没补丁咋办？（临时规避）
🛡️ **临时规避**：若无法升级，请确保该 API 端点**不暴露**在互联网或不可信网络。 🚫 **配置**：限制对 `/api/4/serverslist` 的网络访问权限。
Q10急不急？（优先级建议）
🔥 **优先级**：**高**。 📊 **CVSS**：**7.5** (High)。 💡 **建议**：凭据泄露风险大，建议**立即**升级或隔离访问。