CVE-2014-7205 — 神龙十问 AI 深度分析摘要

🚨 **本质**：bassmaster 插件存在 **Eval 注入漏洞**。💥 **后果**：攻击者可执行 **任意 JavaScript 代码**，导致 **远程代码执行 (RCE)**。

🔍 **缺陷点**：`lib/batch.js` 中的 `internals.batch` 函数。⚠️ **原因**：使用了 `eval()` 处理未正确转义的用户输入，正则表达式未能拦截恶意代码。

📦 **组件**：Node.js hapi 框架的 **bassmaster 插件**。📉 **版本**：**1.5.1 及之前版本** 均受影响。

🕵️ **黑客能力**：完全控制服务器进程。🔓 **权限**：可执行系统命令（如反弹 Shell），窃取数据或接管服务器。

🚪 **门槛**：**低**。无需认证，属于 **远程** 漏洞。只要插件被调用且输入未过滤，即可触发。

💣 **Exp 状态**：**有现成 PoC**。GitHub 上有 Python 脚本（如 `bassmaster-rce.py`），可直接生成 NC 或 NodeJS 反弹 Shell。

🔎 **自查方法**：检查项目中是否依赖 `bassmaster` 插件。📝 **特征**：查看 `package.json` 或代码中是否引用 `lib/batch.js` 及 `internals.batch`。

🛡️ **修复**：官方已提交补丁（Commit `b751602`）。✅ **建议**：立即升级至 **修复后的最新版本**。

🚧 **临时规避**：若无法升级，需严格 **过滤/转义** 传入 `internals.batch` 的用户输入，避免使用 `eval()`。🚫 **最佳**：暂时禁用该插件。

🔥 **优先级**：**极高 (Critical)**。RCE 漏洞 + 有公开 Exp + 无需认证。🏃 **行动**：立即修复，防止被自动化扫描利用。