CVE-2026-40050 — 神龙十问 AI 深度分析摘要

🚨 **本质**：特定集群API端点存在**未验证的路径遍历**漏洞。 💥 **后果**：远程攻击者可**未经身份验证**读取服务器文件系统上的**任意文件**。

🔍 **CWE**：CWE-306（缺少对关键输入的控制）。 📍 **缺陷点**：API端点未正确校验文件路径，导致可访问非预期目录。

🏢 **厂商**：CrowdStrike。 📦 **产品**：**LogScale Self-Hosted**（自托管版日志分析平台）。

🕵️ **权限**：**无需认证**（PR:N）。 📂 **数据**：可读取**任意文件**，包括敏感配置、密钥或日志数据。

🚪 **门槛**：**极低**。 ⚙️ **条件**：无需登录，无需用户交互，攻击复杂度低（AC:L）。

🧪 **Exp/PoC**：当前数据中 **无** 公开PoC。 🌍 **在野利用**：暂无相关报告。

🔎 **自查**：扫描针对LogScale集群API端点的**路径遍历请求**（如 `../` 等字符）。

🛡️ **官方修复**：CrowdStrike已发布安全公告（参考链接），建议立即检查官方补丁状态。

🚧 **临时规避**：若无补丁，建议**限制API端点访问**，仅允许可信IP，或配置WAF拦截路径遍历特征。

⚡ **优先级**：**极高**。 📊 **CVSS**：9.1（Critical）。因**无需认证**且影响全面（机密性/完整性/可用性均高），需**立即处置**。