CVE-2026-33519
— 神龙十问 AI 深度分析摘要
CVSS 9.8 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →
Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：Esri Portal for ArcGIS 存在**授权不当**漏洞。
📉 **后果**：攻击者可完全控制受影响实例，导致**机密性、完整性、可用性**全部丧失（CVSS 评分极高）。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE-266**：权限管理错误。
🛠 **缺陷点**：系统**未正确检查**分配给开发人员凭据的权限，导致权限校验失效。
Q3影响谁？（版本/组件）
🏢 **厂商**：Esri。
📦 **产品**：Portal for ArcGIS。
📅 **版本**：11.4、11.5 和 12.0 版本均受影响。
Q4黑客能干啥？（权限/数据）
👮 **权限**：利用**开发人员凭据**的权限缺陷。
💾 **数据**：可访问组织内所有地图、场景、应用程序等地理信息，甚至执行任意操作。
Q5利用门槛高吗？（认证/配置）
📶 **网络**：网络可访问（AV:N）。
🔑 **认证**：**无需认证**（PR:N）。
👀 **交互**：无需用户交互（UI:N）。
⚡ **结论**：利用门槛**极低**，远程即可触发。
Q6有现成Exp吗？（PoC/在野利用）
🚫 **PoC**：当前**无**公开 PoC 代码。
🌍 **在野**：暂无在野利用报告。
⚠️ **注意**：虽无代码，但漏洞原理清晰，利用风险高。
Q7怎么自查？（特征/扫描）
🔎 **自查**：检查是否运行 Esri Portal for ArcGIS 11.4/11.5/12.0。
📋 **重点**：审查**开发人员账号**的权限分配逻辑，确认是否存在权限校验绕过。
Q8官方修了吗？（补丁/缓解）
🛡️ **补丁**：官方已发布安全公告（2026年4月21日）。
🔗 **链接**：参考 Esri 官方 April 2026 Security Bulletin。
✅ **建议**：立即联系厂商获取最新补丁或更新说明。
Q9没补丁咋办？（临时规避）
🚧 **临时规避**：
1. **最小权限**：严格限制开发人员凭据的权限范围。
2. **访问控制**：限制 Portal 的网络访问入口。
3. **监控**：加强对权限变更和异常访问的审计。
Q10急不急？（优先级建议）
🔥 **优先级**：**紧急**。
📊 **CVSS**：3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H（满分风险）。
💡 **见解**：无需认证即可造成全面破坏，建议**立即**评估并修复。