CVE-2024-5960 — 神龙十问 AI 深度分析摘要

🚨 **本质**：Eliz Panel 存在**明文存储密码**漏洞。 💥 **后果**：一旦数据库泄露，所有用户密码直接暴露，无加密保护，极易引发连锁安全事故。

🛡️ **CWE**：CWE-256（**明文存储密码**）。 🔍 **缺陷点**：系统在存储用户凭证时，未进行哈希或加密处理，直接以**纯文本**形式保存。

📦 **厂商**：Eliz Software。 🏷️ **产品**：Eliz Panel。 ⚠️ **受影响版本**：**2.3.24 之前**的所有版本。

🔓 **权限**：攻击者可获取**管理员或普通用户**的明文密码。 📊 **数据**：直接窃取**认证凭据**，进而可能接管系统、篡改数据或横向移动。

🚪 **门槛**：**极低**。 🔑 **条件**：CVSS 显示 **AV:N**（网络攻击）、**PR:N**（无需权限）、**UI:N**（无需交互）。只要访问到存储密码的数据库或配置文件即可利用。

🧪 **Exp/PoC**：当前数据中 **无** 现成 PoC 或公开利用代码。 🌍 **在野利用**：暂无相关在野利用报告。

🔍 **自查**：检查数据库或配置文件。 👀 **特征**：查找密码字段是否包含**可读的明文字符串**，而非哈希值（如 MD5/SHA）。

🔧 **官方修复**：建议升级至 **2.3.24 或更高版本**。 📖 **参考**：土耳其 USOM 已发布相关通报 (tr-24-1497)。

🛡️ **临时规避**：若无法立即升级，必须强制实施**密码哈希存储**（如 bcrypt/Argon2）。 🔒 **其他**：启用强密码策略，限制数据库访问权限，启用 MFA 多因素认证。

🔥 **优先级**：**高**。 ⚡ **理由**：CVSS 评分极高（**Critical**），涉及核心认证数据泄露，且利用条件简单，需**立即**整改。