CVE-2026-40035
— 神龙十问 AI 深度分析摘要
CVSS 9.1 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →
Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：Unfurl 工具配置解析缺陷 + **Flask 调试模式默认开启**。
🔥 **后果**：攻击者可访问 **Werkzeug 调试器**，导致 **敏感信息泄露** 或 **远程代码执行 (RCE)**。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE-489**：残留调试代码/活动。
⚠️ **缺陷点**：
1. **输入验证不当**：配置解析存在漏洞。
2. **默认配置危险**：Flask 调试模式未默认关闭。
Q3影响谁？（版本/组件）
📦 **产品**：Unfurl (URL 数据提取与可视化工具)。
👤 **开发者**：Ryan Benson / Obsidian Forensics。
📅 **受影响版本**：**2025.08 及之前版本**。
Q4黑客能干啥？（权限/数据）
🕵️ **权限提升**：无需认证即可利用。
💾 **数据泄露**：查看服务器内部状态、代码逻辑。
💻 **RCE**：通过 Werkzeug 调试器执行任意系统命令，完全控制目标。
Q5利用门槛高吗？（认证/配置）
📉 **门槛极低**。
🔓 **无需认证** (PR:N)。
🌐 **网络可达** (AV:N)。
🖱️ **无需用户交互** (UI:N)。
🎯 **攻击复杂度低** (AC:L)。
Q6有现成Exp吗？（PoC/在野利用）
🚫 **暂无公开 PoC** (PoCs: [])。
📢 **已有官方公告**：
- VulnCheck Advisory
- GitHub Security Advisory (GHSA-vg9h-jx4v-cwx2)
Q7怎么自查？（特征/扫描）
🔎 **自查特征**：
1. 检查 Unfurl 版本是否 ≤ 2025.08。
2. 检查 Flask 配置中 `debug` 是否设为 `True`。
3. 尝试访问 `/console` 或 Werkzeug 调试接口（若暴露）。
Q8官方修了吗？（补丁/缓解）
🛡️ **官方已发布建议**。
📝 **参考链接**：
- [VulnCheck Advisory](https://www.vulncheck.com/advisories/dfir-unfurl-werkzeug-debugger-exposure-via-string-config-parsing)
- [GitHub GHSA](https://github.com/obsidianforensics/unfurl/securi…
Q9没补丁咋办？（临时规避）
🛑 **临时规避**：
1. **禁用调试模式**：确保 Flask `debug=False`。
2. **限制访问**：通过防火墙/WAF 阻止外部访问调试接口。
3. **输入清洗**：修复配置解析中的输入验证逻辑。
Q10急不急？（优先级建议）
🔴 **优先级：高**。
⚡ **CVSS 3.1**：向量显示 **高机密性/高完整性影响**。
🚀 **行动**：由于无需认证且可导致 RCE，建议 **立即修复** 或 **隔离** 受影响实例。