CVE-2026-34750 — 神龙十问 AI 深度分析摘要
CVSS 6.5 · Medium
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
- **本质**：路径遍历漏洞 🚨 - 客户端上传**签名URL端点**未清理文件名 - **后果**：可逃离预期存储位置 → 任意文件写入/覆盖 ⚠️
Q2根本原因？（CWE/缺陷点）
- **根本原因**：输入验证缺失 🔍 - 对应 **CWE-22**（路径遍历） - 文件名未正确清理 → 目录跳转 (`../`) 被允许 🚧
Q3影响谁？（版本/组件）
- **影响产品**：Payload（Headless CMS & 应用框架）📦 - **受影响版本**：< 3.78.0 ❌ - **涉及组件**：Node.js + React + MongoDB 栈中的上传模块 🖥️
Q4黑客能干啥？（权限/数据）
- **权限要求**：已认证用户 (PR:L) 👤 - **可做操作**：将恶意文件写入非预期路径 🗂️ - **影响**：破坏**完整性(I:H)** → 篡改数据/植入后门 💣
Q5利用门槛高吗？（认证/配置）
- **利用门槛**：低 🟢 - 仅需普通用户权限 ✅ - 无需特殊配置 🛠️ - UI交互非必需 (UI:N) → 可静默触发 🕳️
Q6有现成Exp吗？（PoC/在野利用）
- **现有PoC**：无 ❌ (pocs 列表为空) - **在野利用**：暂无公开报告 📭 - 但风险真实 🚨 需提前防御
Q7怎么自查？（特征/扫描）
- **自查特征**：检查上传签名URL逻辑 🔍 - 搜索是否对文件名做 `../` 或绝对路径过滤 🧐 - 监控异常文件路径写入 📁⚠️ - 可用静态代码审计工具辅助 🛠️
Q8官方修了吗？（补丁/缓解）
- **官方修复**：已发布安全公告 🛡️ - 链接：https://github.com/payloadcms/payload/security/advisories/GHSA-frq9-7j6g-v74x ✅ - 建议升级至 **≥ 3.78.0** 🚀
Q9没补丁咋办？（临时规避）
- **无补丁时**：手动过滤文件名中 `../`、`..\`、`:` 等 🚧 - 限制上传路径至固定目录 📂 - 校验文件扩展名白名单 🎯 - 开启上传日志监控 🔔
Q10急不急？（优先级建议）
- **优先级**：高 🔥 - CVSS 虽无可用/机密性影响 → **I:H** 威胁严重 💡 - 已认证用户即可触发 → 易扩散 🚨 - 建议立即排查并升级 🏃♂️💨