CVE-2026-41167 — 神龙十问 AI 深度分析摘要
CVSS 9.1 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：Jellystat 存在 **SQL注入 (SQLi)** 漏洞。 💥 **后果**：攻击者可窃取数据，甚至导致 **远程代码执行 (RCE)**，彻底接管服务器。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE-89**：SQL注入漏洞。 📍 **缺陷点**：多个 **API端点** 未清理请求体字段，直接拼接到 **原始SQL字符串** 中构建查询。
Q3影响谁？（版本/组件）
📦 **产品**：Jellystat (开源统计应用)。 👤 **开发者**：Thegan Govender / CyferShepard。 ⚠️ **版本**：**1.1.10 之前** 的所有版本均受影响。
Q4黑客能干啥？（权限/数据）
🕵️ **黑客能力**： 1. **读取/篡改** 数据库所有数据。 2. **远程代码执行 (RCE)**：在服务器上执行任意命令。 3. **权限提升**：获取系统最高控制权。
Q5利用门槛高吗？（认证/配置）
🔐 **门槛**：中等。 ✅ **无需认证**：UI (User Interaction) 为 N。 ❌ **需要认证**：PR (Privileges Required) 为 H (High)，意味着攻击者需拥有 **高权限账号** 才能触发。
Q6有现成Exp吗？（PoC/在野利用）
📜 **Exp/PoC**：数据中 **无现成 PoC** (pocs 为空)。 🌍 **在野利用**：未提及，但鉴于 RCE 风险，需警惕后续利用链开发。
Q7怎么自查？（特征/扫描）
🔎 **自查方法**： 1. 检查 Jellystat 版本是否 **< 1.1.10**。 2. 审计 API 代码，查找未参数化的 **SQL 拼接** 逻辑。 3. 使用 SQLMap 对已知 API 端点进行注入测试（需高权限账号）。
Q8官方修了吗？（补丁/缓解）
🛡️ **官方修复**：已发布安全公告 (GHSA-fj7c-2p5q-g56m) 和代码修复提交 (commit 735fe7c)。 📥 **行动**：立即升级至 **1.1.10 或更高版本**。
Q9没补丁咋办？（临时规避）
🚧 **临时规避**： 1. **升级** 是唯一根治方案。 2. 若无法升级，限制 API 访问权限，仅允许 **可信高权限用户** 访问。 3. 部署 WAF 拦截常见 SQL 注入载荷。
Q10急不急？（优先级建议）
🔥 **优先级**：**极高 (Critical)**。 ⚡ **理由**：CVSS 评分满分倾向 (AV:N/AC:L/C:H/I:H/A:H)，且存在 **RCE** 风险。即使需要认证，一旦内网渗透成功，后果灾难性。建议 **立即修复**。