一、 漏洞 CVE-2025-24977 基础信息
漏洞信息
                                        # OpenCTI 通过网络钩子存在远程代码执行和敏感信息泄露漏洞

## 漏洞概述
OpenCTI 是一个开放的网络威胁情报平台。在 6.4.11 版本之前，具备 `manage customizations` 权限的用户可以通过滥用 web-hooks 在 OpenCTI 所部署的基础架构上执行命令，并访问内部的服务器端秘密。

## 影响版本
- 版本 6.4.11 之前的版本

## 漏洞细节
具备 `manage customizations` 权限的用户可以滥用 web-hooks 执行命令并获取内部服务器端的秘密。通过该漏洞，恶意用户可以在容器内获得 root shell，进一步对基础设施进行攻击和暴露。

## 影响
该漏洞使恶意用户能够执行命令并在基础设施环境中执行进一步的攻击和暴露。开放的基础设施环境处于风险之中，可能导致数据泄露和其他安全问题。
提示
尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
漏洞标题
OpenCTI has remote code execution and sensitive secrets exposed through web hook
来源：美国国家漏洞数据库 NVD
漏洞描述信息
OpenCTI is an open cyber threat intelligence (CTI) platform. Prior to version 6.4.11 any user with the capability `manage customizations` can execute commands on the underlying infrastructure where OpenCTI is hosted and can access internal server side secrets by misusing the web-hooks. Since the malicious user gets a root shell inside a container this opens up the the infrastructure environment for further attacks and exposures. Version 6.4.11 fixes the issue.
来源：美国国家漏洞数据库 NVD
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
来源：美国国家漏洞数据库 NVD
漏洞类别
对生成代码的控制不恰当(代码注入)
来源：美国国家漏洞数据库 NVD
漏洞标题
OpenCTI 代码注入漏洞
来源：中国国家信息安全漏洞库 CNNVD
漏洞描述信息
OpenCTI是OpenCTI开源的一个开放网络威胁情报平台。 OpenCTI 6.4.11之前版本存在代码注入漏洞，该漏洞源于具有manage customizations权限的用户可滥用web-hooks执行命令并访问服务器端机密。
来源：中国国家信息安全漏洞库 CNNVD
CVSS信息
N/A
来源：中国国家信息安全漏洞库 CNNVD
漏洞类别
代码注入
来源：中国国家信息安全漏洞库 CNNVD
二、漏洞 CVE-2025-24977 的公开POC
# POC 描述 源链接 神龙链接
三、漏洞 CVE-2025-24977 的情报信息