CVE-2026-40484 — 神龙十问 AI 深度分析摘要

🚨 **本质**：ChurchCRM 数据库备份/还原功能存在严重安全缺陷。 🔥 **后果**：攻击者可利用此漏洞实现 **远程代码执行 (RCE)** 和 **跨站请求伪造 (CSRF)**，直接接管系统。

🔍 **CWE-269**：权限管理不当。 🐛 **缺陷点**： 1. 缺少 **文件扩展名过滤**（允许上传恶意文件）。 2. 缺少 **CSRF 令牌验证**（无法验证请求合法性）。

🏢 **厂商**：ChurchCRM。 📦 **产品**：CRM 系统。 📅 **影响版本**：**7.2.0 之前**的所有版本。

💀 **黑客能力**： - **RCE**：在服务器上执行任意代码。 - **CSRF**：伪造用户请求，篡改数据或执行操作。 - **权限**：获取 **高权限**（CVSS 评分极高，影响完整性、机密性和可用性）。

🔑 **利用门槛**：**中等**。 - 需要 **PR:H**（需要身份认证）。 - 攻击者需拥有合法账号。 - **AC:L**（攻击复杂度低），一旦认证成功，利用非常简单。

📦 **Exp/PoC**：目前 **暂无** 公开现成 Exp 或 PoC 代码。 🌍 **在野利用**：数据中未显示在野利用报告，但漏洞原理清晰，风险极高。

🔎 **自查方法**： 1. 检查系统版本是否 **< 7.2.0**。 2. 扫描数据库备份接口，看是否缺少 **CSRF Token**。 3. 测试上传备份文件时，是否对 **.php/.jsp** 等可执行后缀进行拦截。

🛡️ **官方修复**：**已修复**。 - 参考 GitHub Commit `68be1d1`。 - 参考 Pull Request #8610。 - 建议立即升级至 **7.2.0 或更高版本**。

🚧 **临时规避**： 1. **禁用** 数据库备份/还原功能（如果非必需）。 2. 严格限制备份目录的 **执行权限**。 3. 确保后台接口强制校验 **CSRF Token**。 4. 限制访问 IP 白名单。

⚡ **优先级**：**紧急 (Critical)**。 - CVSS 向量显示 **S:C/C:H/I:H/A:H**（严重级）。 - 即使需要认证，RCE 风险也足以导致服务器沦陷。 - **行动**：立即升级补丁！