CVE-2026-40887 — 神龙十问 AI 深度分析摘要
CVSS 9.1 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：Shop API 中 `languageCode` 参数未参数化，直接拼入 SQL。💥 **后果**：导致 **未经身份验证的 SQL 注入**，数据库可能被拖库或遭破坏。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE-89**：SQL 注入。📍 **缺陷点**：`ProductService.findOneBySlug` 方法中，用户控制的查询字符串参数被直接插入原始 SQL `CASE` 表达式，缺乏验证。
Q3影响谁？（版本/组件）
🛡️ **受影响组件**：Vendure (开源电商框架)。📦 **高危版本**：1.7.4 ~ 2.3.4、3.5.7 之前、3.6.2 之前。
Q4黑客能干啥？（权限/数据）
🕵️ **黑客能力**：执行任意 SQL 命令。📊 **数据风险**：全库数据泄露（C:H）、服务拒绝服务（A:H）。无需登录即可操作。
Q5利用门槛高吗？（认证/配置）
🚪 **门槛极低**：CVSS 显示 **无需认证 (PR:N)**、**无需用户交互 (UI:N)**、**攻击复杂度低 (AC:L)**。远程直接利用。
Q6有现成Exp吗？（PoC/在野利用）
💻 **有现成 PoC**：ProjectDiscovery 已提供 Nuclei 模板 (`CVE-2026-40887.yaml`)。GitHub 安全公告已确认。
Q7怎么自查？（特征/扫描）
🔎 **自查方法**：检查 Shop API 接口，看 `languageCode` 参数是否直接拼接进 SQL。使用 Nuclei 扫描模板快速检测。
Q8官方修了吗？（补丁/缓解）
🛠️ **官方修复**：已发布安全公告 (GHSA-9pp3-53p2-ww9v)。建议升级至 **2.3.4+**、**3.5.7+** 或 **3.6.2+**。
Q9没补丁咋办？（临时规避）
⚠️ **临时规避**：若无法升级，需在代码层对 `languageCode` 进行严格白名单校验或强制参数化查询，禁止直接字符串拼接。
Q10急不急？（优先级建议）
🔥 **优先级：极高**。CVSS 分数高，无需认证即可远程利用，直接威胁数据完整性和可用性，建议 **立即修复**。