CVE-2024-9574 — 神龙十问 AI 深度分析摘要

🚨 **本质**：SQL注入漏洞。 💥 **后果**：攻击者可提交恶意查询，**窃取数据库中存储的所有信息**。

🔍 **CWE**：CWE-89 (SQL注入)。 📍 **缺陷**：未对用户输入的查询进行充分过滤或参数化处理，导致恶意代码执行。

🎯 **厂商**：SOPlanning。 📦 **产品**：SOPlanning 在线项目管理软件。 ⚠️ **版本**：**1.45之前**的所有版本均受影响。

🕵️ **权限**：远程用户无需认证即可利用。 📊 **数据**：可**检索数据库中存储的所有信息**（高机密性、完整性、可用性影响）。

📉 **门槛**：**极低**。 🔑 **条件**：无需认证 (PR:N)，无需用户交互 (UI:N)，攻击复杂度低 (AC:L)。

📜 **Exp/PoC**：当前数据中 **未提供** 现成 PoC 或公开在野利用报告。 🔎 **状态**：暂无明确证据表明已被大规模自动化利用。

🔎 **自查**：检查 SOPlanning 版本号是否 < 1.45。 🛠️ **扫描**：使用支持 SQLi 检测的 WAF 或漏洞扫描器，针对输入点注入测试 payload。

🛡️ **补丁**：官方建议升级至 **1.45 或更高版本**。 📚 **参考**：Incibe CERT 已发布相关安全通告。

🚧 **临时规避**：若无法立即升级，建议部署 **WAF (Web应用防火墙)** 拦截 SQL 注入特征。 🔒 **限制**：严格限制对项目管理模块的网络访问权限。

🔥 **优先级**：**高**。 📈 **CVSS**：9.8 (Critical)。 💡 **建议**：鉴于无需认证且影响全面，建议**立即**规划升级或实施缓解措施。