CVE-2026-32714 — 神龙十问 AI 深度分析摘要

🚨 **本质**：SQL注入漏洞。 💥 **后果**：攻击者可操控数据库，导致**数据泄露**、**篡改**或**服务中断**。 📌 **核心**：`scitokens` 库在处理 JWT 令牌时，未安全拼接用户数据到 SQL 查询中。

🔍 **CWE**：CWE-89 (SQL注入)。 🐛 **缺陷点**：`KeyCache` 类。 ⚠️ **原因**：使用 Python `str.format()` 直接构建 SQL 语句，包含**用户提供数据**，缺乏参数化查询保护。

📦 **组件**：`scitokens` (SciTokens 开源库)。 📅 **版本**：**1.9.6 之前**的所有版本。 🏷️ **厂商**：scitokens。

👮 **权限**：高（CVSS 3.1 全中）。可获取数据库完全控制权。 📂 **数据**：机密性(C)、完整性(I)、可用性(A)均受**高**影响。 🔓 **能力**：读取敏感科学计算令牌、注入恶意命令、破坏缓存数据。

🚪 **门槛**：**低**。 🔑 **认证**：无需认证 (PR:N)。 🌐 **网络**：网络可达 (AV:N)。 ⚡ **复杂度**：低 (AC:L)。 👤 **交互**：无需用户交互 (UI:N)。

🧪 **PoC**：漏洞数据中 `pocs` 为空数组，暂无公开代码级 PoC。 🌍 **在野**：无明确在野利用报告。 🔗 **参考**：见 GitHub Advisory (GHSA-rh5m-2482-966c)。

🔎 **自查特征**：检查代码中 `KeyCache` 类是否使用 `str.format()` 拼接 SQL。 📊 **扫描**：SAST 工具扫描 CWE-89 规则。 📦 **依赖**：检查 `pip list` 或 `requirements.txt` 中 `scitokens` 版本是否 < 1.9.6。

🛡️ **已修复**：是。 💊 **补丁**：升级至 **v1.9.6** 或更高版本。 🔗 **链接**：[GitHub Release v1.9.6](https://github.com/scitokens/scitokens/releases/tag/v1.9.6)。

⚠️ **临时规避**： 1. **输入验证**：严格过滤用户输入中的 SQL 特殊字符。 2. **参数化查询**：强制使用预编译语句替代 `str.format()`。 3. **最小权限**：限制数据库账户权限，禁止高危操作。

🔥 **优先级**：**紧急**。 📈 **CVSS**：9.8 (Critical)。 🚀 **建议**：立即升级至 v1.9.6+。该漏洞无需认证且影响全面，风险极高。