CVE-2026-34415 — 神龙十问 AI 深度分析摘要
CVSS 9.8 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：Xerte Online Toolkits 的 elFinder 连接器存在**输入验证缺陷**。 🔥 **后果**：攻击者可上传恶意 PHP 代码并执行**任意系统命令**，导致服务器完全沦陷。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE**：CWE-184（不完整列表/输入验证）。 📍 **缺陷点**：未能阻止 **.php4** 等非常规 PHP 扩展名，导致非法文件上传。
Q3影响谁？（版本/组件）
🏢 **厂商**：thexerteproject。 📦 **产品**：Xerte Online Toolkits。 ⚠️ **版本**：**3.15 及之前版本**均受影响。
Q4黑客能干啥？（权限/数据）
👑 **权限**：无需认证（PR:N），可直接获取**最高权限**。 💾 **数据**：可读取、修改、删除服务器任意数据，甚至控制整个操作系统。
Q5利用门槛高吗？（认证/配置）
📉 **门槛**：**极低**。 🔓 **认证**：**无需身份验证**（Unauthenticated）。 🎯 **配置**：利用路径遍历和认证绕过，攻击链简单直接。
Q6有现成Exp吗？（PoC/在野利用）
💻 **Exp**：有现成利用代码。 🔗 **来源**：GitHub 仓库 `bootstrapbool/xerteonlinetoolkits-rce` 提供了技术描述和 PoC。
Q7怎么自查？（特征/扫描）
🔎 **自查**：检查是否运行 Xerte Online Toolkits 且版本 ≤ 3.15。 📡 **扫描**：监测针对 elFinder 连接器的异常文件上传请求，特别是 `.php4` 后缀。
Q8官方修了吗？（补丁/缓解）
🛡️ **补丁**：官方已发布修复。 📝 **链接**：GitHub Commit `02661be` 及 3.15 变更日志中提及修复。建议立即升级。
Q9没补丁咋办？（临时规避）
🚧 **临时规避**：若无法升级，需严格限制 elFinder 连接器访问权限。 🚫 **配置**：在 Web 服务器层面禁止 `.php4` 等非常规扩展的执行，或禁用该连接器端点。
Q10急不急？（优先级建议）
🔥 **优先级**：**紧急 (Critical)**。 📊 **CVSS**：3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H（满分风险）。 ⏳ **行动**：立即修补，无需等待。