CVE-2023-6190 — 神龙十问 AI 深度分析摘要
CVSS 9.8 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：输入验证错误导致**路径遍历**。 📉 **后果**：攻击者可非法访问服务器文件系统，导致**机密性、完整性、可用性**全面受损。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE-22**：路径遍历漏洞。 ⚠️ **缺陷点**：系统对**输入验证**处理不当，未过滤恶意路径字符。
Q3影响谁？（版本/组件）
🏫 **厂商**：İzmir Katip Çelebi University。 📦 **产品**：University Information Management System。 📅 **版本**：**30.11.2023** 版本受影响。
Q4黑客能干啥？（权限/数据）
🔓 **权限**：无需认证（PR:N）。 💾 **数据**：可读取/修改任意文件（C:H, I:H）。 💥 **影响**：系统完全沦陷（A:H）。
Q5利用门槛高吗？（认证/配置）
🚪 **门槛极低**。 ✅ **无需认证**（PR:N）。 ✅ **无需用户交互**（UI:N）。 ✅ **攻击复杂度低**（AC:L）。
Q6有现成Exp吗？（PoC/在野利用）
📭 **无现成Exp**。 🚫 **PoC**：数据中未提供。 🌍 **在野利用**：暂无公开记录。
Q7怎么自查？（特征/扫描）
🔎 **扫描特征**：检测针对该系统的**路径遍历**请求。 📝 **自查**：检查输入接口是否过滤 `../` 等非法字符。
Q8官方修了吗？（补丁/缓解）
🛡️ **官方状态**：数据未提及具体补丁版本。 📌 **参考**：USOM 发布通报 (tr-23-0736)，建议关注官方更新。
Q9没补丁咋办？（临时规避）
🚧 **临时规避**： 1️⃣ 限制系统**外网访问**。 2️⃣ 部署 WAF 拦截**路径遍历** payload。 3️⃣ 严格校验**输入参数**。
Q10急不急？（优先级建议）
🔥 **优先级：极高**。 📊 **CVSS**：**9.8** (Critical)。 ⚡ **建议**：立即隔离或修补，风险极大。