CVE-2026-32714
— 神龙十问 AI 深度分析摘要
CVSS 9.8 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →
Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：SQL注入漏洞。
💥 **后果**：攻击者可操控数据库，导致**数据泄露**、**篡改**或**服务中断**。
📌 **核心**：`scitokens` 库在处理 JWT 令牌时，未安全拼接用户数据到 SQL 查询中。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE**：CWE-89 (SQL注入)。
🐛 **缺陷点**：`KeyCache` 类。
⚠️ **原因**：使用 Python `str.format()` 直接构建 SQL 语句，包含**用户提供数据**，缺乏参数化查询保护。
Q3影响谁？（版本/组件）
📦 **组件**：`scitokens` (SciTokens 开源库)。
📅 **版本**：**1.9.6 之前**的所有版本。
🏷️ **厂商**：scitokens。
Q4黑客能干啥？（权限/数据）
👮 **权限**：高（CVSS 3.1 全中）。可获取数据库完全控制权。
📂 **数据**：机密性(C)、完整性(I)、可用性(A)均受**高**影响。
🔓 **能力**：读取敏感科学计算令牌、注入恶意命令、破坏缓存数据。
Q5利用门槛高吗？（认证/配置）
🚪 **门槛**：**低**。
🔑 **认证**：无需认证 (PR:N)。
🌐 **网络**：网络可达 (AV:N)。
⚡ **复杂度**：低 (AC:L)。
👤 **交互**：无需用户交互 (UI:N)。
Q6有现成Exp吗？（PoC/在野利用）
🧪 **PoC**：漏洞数据中 `pocs` 为空数组，暂无公开代码级 PoC。
🌍 **在野**：无明确在野利用报告。
🔗 **参考**：见 GitHub Advisory (GHSA-rh5m-2482-966c)。
Q7怎么自查？（特征/扫描）
🔎 **自查特征**：检查代码中 `KeyCache` 类是否使用 `str.format()` 拼接 SQL。
📊 **扫描**：SAST 工具扫描 CWE-89 规则。
📦 **依赖**：检查 `pip list` 或 `requirements.txt` 中 `scitokens` 版本是否 < 1.9.6。
Q8官方修了吗？（补丁/缓解）
🛡️ **已修复**：是。
💊 **补丁**：升级至 **v1.9.6** 或更高版本。
🔗 **链接**：[GitHub Release v1.9.6](https://github.com/scitokens/scitokens/releases/tag/v1.9.6)。
Q9没补丁咋办？（临时规避）
⚠️ **临时规避**：
1. **输入验证**：严格过滤用户输入中的 SQL 特殊字符。
2. **参数化查询**：强制使用预编译语句替代 `str.format()`。
3. **最小权限**：限制数据库账户权限，禁止高危操作。
Q10急不急？（优先级建议）
🔥 **优先级**：**紧急**。
📈 **CVSS**：9.8 (Critical)。
🚀 **建议**：立即升级至 v1.9.6+。该漏洞无需认证且影响全面，风险极高。