CVE-2023-45906 — 神龙十问 AI 深度分析摘要

🚨 **跨站请求伪造（CSRF）漏洞**。攻击者可伪造管理员操作，**添加恶意用户**，绕过正常流程。

🛠️ **CWE-352**：缺少CSRF令牌校验。组件 `/admin/user/add` 未验证请求来源，允许伪造请求。

💻 **Dreamer CMS v4.1.3**。仅影响该版本。组件：`/admin/user/add` 用户添加功能。

🔓 **可添加任意用户**。攻击者可创建管理员账号，**获取后台控制权**，进一步渗透系统。

🔐 **需认证**。攻击者需知道目标管理员登录状态，或诱导其点击恶意链接（钓鱼）。

🔍 **无公开PoC**。参考链接为GitHub说明文档，非可执行Exploit。未见在野利用报告。

🔎 **自查方法**：检查 `/admin/user/add` 接口是否无CSRF令牌。用浏览器开发者工具抓包，看是否有Token字段。

🛠️ **未提供官方补丁**。漏洞数据中无修复版本或补丁信息。建议升级或自行加固。

🛡️ **临时规避**：禁用用户添加功能；启用CSRF Token；添加Referer校验；限制IP访问。

⚠️ **高优先级**。一旦被利用，可导致系统沦陷。建议立即排查并加固，尤其对已部署系统。