CVE-2026-33494 — 神龙十问 AI 深度分析摘要
CVSS 10.0 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：HTTP路径遍历漏洞。 💥 **后果**：可能导致**授权绕过**，攻击者非法访问未授权资源。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE**：CWE-23（路径遍历）。 🐛 **缺陷**：未正确净化HTTP请求中的路径参数，导致目录穿越。
Q3影响谁？（版本/组件）
📦 **组件**：Ory Oathkeeper（访问控制决策软件）。 📅 **版本**：**26.2.0之前**的所有版本均受影响。
Q4黑客能干啥？（权限/数据）
🔓 **权限**：可绕过访问控制策略。 📂 **数据**：可能泄露敏感数据或执行未授权操作（CVSS评分高，影响完整性与机密性）。
Q5利用门槛高吗？（认证/配置）
⚡ **门槛**：**低**。 🌐 **条件**：网络可访问（AV:N），无需认证（PR:N），无需用户交互（UI:N）。
Q6有现成Exp吗？（PoC/在野利用）
🧪 **Exp**：数据中未提供现成PoC或**在野利用**报告。 🔗 但已有官方修复Commit，建议关注社区动态。
Q7怎么自查？（特征/扫描）
🔎 **自查**：检查Oathkeeper版本是否 < 26.2.0。 📝 **日志**：监控异常的路径遍历请求（如包含 `../` 的HTTP请求）。
Q8官方修了吗？（补丁/缓解）
🛡️ **状态**：**已修复**。 🔗 参考：[GitHub Advisory](https://github.com/ory/oathkeeper/security/advisories/GHSA-p224-6x5r-fjpm) 及 [Commit](https://github.com/ory/oathkeeper/commit/8e0002140491c592db41fa141dc6ad68f417e2b2)。
Q9没补丁咋办？（临时规避）
⏳ **临时方案**：升级至 **26.2.0或更高版本**。 🚫 **规避**：若无法升级，限制前端访问并严格校验输入路径。
Q10急不急？（优先级建议）
🔥 **优先级**：**高**。 📊 **CVSS**：3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N（严重级别），建议立即修补。