CVE-2026-10258 — 神龙十问 AI 深度分析摘要
CVSS 6.3 · Medium
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：SQL注入漏洞 (SQLi)。 💥 **后果**：攻击者可通过恶意构造的 `topic_id` 参数，绕过后端验证，直接执行任意 SQL 命令。可能导致数据库被拖库、篡改或删除。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE-89**：SQL注入。 📍 **缺陷点**：`/admin/add_sub_topic.php` 文件中的未知函数。 ⚠️ **原因**：对输入参数 `topic_id` 缺乏严格的过滤或预处理，直接拼接到 SQL 查询语句中。
Q3影响谁？（版本/组件）
📦 **产品**：itsourcecode Content Management System。 🏷️ **版本**：V1.0。 📂 **组件**：后台管理模块 (`/admin/add_sub_topic.php`)。
Q4黑客能干啥？（权限/数据）
🕵️ **权限**：需登录后台（PR:L）。 💾 **数据**：可读取、修改、删除数据库内容。 🛠️ **操作**：可能进一步获取服务器权限（取决于数据库配置），完全控制网站后台数据。
Q5利用门槛高吗？（认证/配置）
🔑 **门槛**：中等。 ✅ **条件**：需要有效的后台管理员账号（PR:L）。 🌐 **网络**：远程可利用（AV:N）。 🚫 **交互**：无需用户交互（UI:N）。
Q6有现成Exp吗？（PoC/在野利用）
💻 **Exp**：有。 📢 **来源**：GitHub issue (#5) 已公开相关利用代码。 🔥 **状态**：存在被实际攻击的风险（CTI 指标已收集）。
Q7怎么自查？（特征/扫描）
🔎 **自查**： 1. 检查是否存在 `/admin/add_sub_topic.php` 文件。 2. 审计该文件中 `topic_id` 参数的处理逻辑，看是否使用参数化查询。 3. 使用 SQLMap 等工具对后台接口进行自动化测试。
Q8官方修了吗？（补丁/缓解）
🛡️ **补丁**：数据中未提及官方已发布具体补丁链接。 📝 **建议**：需联系 itsourcecode 官方或查看其 GitHub 仓库获取最新修复版本。
Q9没补丁咋办？（临时规避）
🚧 **临时规避**： 1. **WAF 防护**：部署 Web 应用防火墙，拦截包含 SQL 关键字的 `topic_id` 请求。 2. **权限收紧**：限制后台访问 IP，仅允许内网或可信 IP 访问。 3. **代码修复**：手动修改 PHP 代码，使用预处理语句 (Prepared Statements) 绑定参数。
Q10急不急？（优先级建议）
⚡ **优先级**：高 (High)。 📊 **CVSS**：7.5 (AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L)。 💡 **理由**：虽然需要认证，但利用简单（AC:L），且 Exp 已公开。一旦后台账号泄露，后果严重。建议立即排查并加固。