CVE-2023-46679 — 神龙十问 AI 深度分析摘要

🚨 **本质**：SQL注入 (SQLi)。 💥 **后果**：攻击者可窃取、篡改或删除数据库中的敏感数据，甚至完全控制服务器。

🔍 **CWE-89**：SQL注入漏洞。 🐛 **缺陷点**：参数在拼接 SQL 语句前**未经验证或转义**，导致恶意输入被执行。

📦 **产品**：Online Job Portal。 🏢 **厂商**：Projectworlds Pvt. Limited。 📌 **版本**：v1.0（由 janobe 个人开发者维护）。

👮 **权限**：高（CVSS 3.1 评分极高，C:H/I:H/A:H）。 📊 **数据**：可读取所有数据库内容，修改数据，甚至获取服务器控制权。

🚪 **门槛**：极低。 🔑 **认证**：无需认证 (PR:N)。 🌐 **网络**：远程利用 (AV:N)。 🎯 **复杂度**：低 (AC:L)，无需用户交互 (UI:N)。

📜 **Exp/PoC**：数据中未提供现成 PoC 或公开利用代码。 🌍 **在野**：暂无明确在野利用报告，但漏洞本身极易利用。

🔎 **自查**：检查所有输入点（搜索框、登录页等）。 🧪 **测试**：使用单引号 `'` 或 `' OR 1=1--` 测试响应，观察是否报错或返回异常数据。

🛠️ **补丁**：数据未提及官方已发布具体补丁版本。 ⚠️ **现状**：建议联系厂商 (Projectworlds) 或检查其官网更新。

🛡️ **临时规避**： 1. 部署 **WAF** 拦截 SQL 关键字。 2. 对输入参数进行严格的**白名单过滤**。 3. 使用**预编译语句** (Prepared Statements) 替代字符串拼接。

🔥 **优先级**：**紧急 (Critical)**。 📉 **风险**：CVSS 向量显示影响完整性、机密性和可用性，且无需任何权限即可远程利用，必须立即修复。