CVE-2026-33746 — 神龙十问 AI 深度分析摘要

🚨 **本质**：JWT 签名验证缺失。 💥 **后果**：攻击者可伪造身份，直接绕过系统认证机制，导致未授权访问。

🔍 **CWE-287**：身份验证缺陷。 📍 **缺陷点**：Convoy 在处理 JWT 令牌时，未对签名进行有效校验，导致令牌内容可被篡改。

📦 **产品**：Convoy Panel。 📅 **版本**：3.9.0-beta 至 4.5.1 之前的所有版本。 🏢 **厂商**：ConvoyPanel。

🔓 **权限**：完全绕过身份验证。 📊 **数据**：可访问敏感数据，修改系统配置，甚至接管托管平台控制权（CVSS 评分极高）。

📉 **门槛极低**。 ✅ **无需认证**：攻击者无需任何合法凭据。 🌐 **网络可达**：只要服务暴露在网络中，即可远程利用。

🚫 **暂无公开 Exp**。 📄 **状态**：PoC 列表为空，但鉴于漏洞原理简单（签名验证缺失），编写利用代码极易。

🔎 **自查方法**：检查 JWT 解析逻辑。 🛠 **扫描**：使用支持 JWT 验证缺陷的扫描器，或手动构造无效签名的 JWT 测试接口响应。

✅ **已修复**。 📌 **补丁版本**：v4.5.1。 🔗 **详情**：参考 GitHub Security Advisory (GHSA-92pg-3w49-4w5x)。

🛡️ **临时规避**：升级至 v4.5.1 是唯一推荐方案。 ⚠️ **若无补丁**：限制服务访问 IP，部署 WAF 拦截异常 JWT 请求，或暂时下线服务。

🔥 **紧急程度：高**。 📈 **CVSS**：3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H（严重）。 💡 **建议**：立即升级，该漏洞允许完全绕过认证，风险极大。