CVE-2024-40422 — 神龙十问 AI 深度分析摘要

🚨 **本质**：路径穿越漏洞 (Path Traversal)。 💥 **后果**：攻击者可读取服务器敏感文件，破坏系统机密性与完整性。

🔍 **缺陷点**：`/api/get-browser-snapshot` 接口中的 `snapshot_path` 参数未做严格校验。 🚫 **CWE**：数据中未提供具体 CWE ID。

📦 **受影响组件**：Devika v1 版本。 🏢 **厂商**：stitionai (开源项目)。

🕵️ **黑客能力**：操纵参数遍历目录。 📂 **数据风险**：访问 `/etc/passwd` 等关键系统文件，获取敏感信息。

🔑 **利用门槛**：低。 ⚙️ **配置**：直接通过 API 参数即可触发，无需复杂认证或特殊配置（基于 PoC 描述）。

💣 **现成 Exp**：有。 🔗 **来源**：GitHub 上有多个 PoC (alpernae, j3r1ch0123)，以及 Nuclei 模板。

🔎 **自查方法**： 1. 检查是否运行 Devika v1。 2. 扫描 `/api/get-browser-snapshot` 接口。 3. 测试 `snapshot_path` 参数是否支持 `../` 穿越。

🛡️ **官方修复**：已提交 PR #619 (stitionai/devika)。 📅 **披露时间**：2024-07-24。

⚠️ **临时规避**： 1. 限制 API 访问权限。 2. 对 `snapshot_path` 输入进行严格的白名单或路径规范化校验。 3. 暂时禁用该接口。

🔥 **优先级**：高。 💡 **建议**：路径穿越可直接导致敏感数据泄露，建议立即升级或应用缓解措施。