CVE-2023-6191 — 神龙十问 AI 深度分析摘要

🚨 **本质**：SQL注入漏洞 💥 **后果**：攻击者可绕过安全机制，直接操作数据库，导致数据泄露或系统被控。

🔍 **CWE-89**：SQL注入 ⚠️ **缺陷点**：对特殊元素的**中和不当**，导致恶意SQL代码被执行。

🏢 **厂商**：Egehan Security 📦 **产品**：WebPDKS 📅 **披露**：2024-03-29

🔓 **权限**：高（CVSS评分极高） 📊 **数据**：完全可控（C:H, I:H, A:H），可读取、修改、删除数据，甚至接管服务器。

🚪 **门槛**：极低 🔑 **条件**：无需认证（PR:N），无需用户交互（UI:N），网络可达即可利用（AV:N, AC:L）。

❓ **现状**：数据未提供具体PoC或在野利用信息 📝 **参考**：可查阅土耳其USOM官方通报（tr-24-0253）获取详情。

🔎 **自查**：扫描WebPDKS服务 🧪 **测试**：注入SQL测试语句（如 `' OR 1=1`），观察响应差异或报错信息。

🛡️ **官方**：数据未提及具体补丁版本 💡 **建议**：立即联系Egehan Security或参考USOM通报寻找修复方案。

🚧 **临时规避**：部署WAF拦截SQL关键字 🔒 **网络**：限制对WebPDKS端口的访问权限，仅允许信任IP。

🔥 **优先级**：P0（紧急） ⚡ **理由**：CVSS向量显示为**高危**，无需认证且影响全面，必须立即处置。