CVE-2024-47830 — 神龙十问 AI 深度分析摘要

🚨 **本质**：Plane 项目规划工具存在 SSRF 漏洞。 💥 **后果**：攻击者可诱导服务器向**非预期位置**发起请求，导致**服务中断** (A:H) 和**数据篡改** (I:L)。

🔍 **CWE**：CWE-918 (Server-Side Request Forgery)。 🐛 **缺陷**：图像检索功能使用了**通配符**支持，未严格限制主机名，允许从任意域名获取资源。

🎯 **产品**：Plane (开源自托管项目规划工具)。 📦 **版本**：**v0.23.0 之前**的所有版本均受影响。

🕵️ **权限**：无需认证 (PR:N)。 📊 **数据**：主要影响**可用性** (A:H)，可能间接导致**完整性**受损 (I:L)，直接信息泄露风险较低 (C:N)。

🚪 **门槛**：**极低**。 ⚙️ **配置**：无需用户交互 (UI:N)，网络可访问即可利用 (AV:N, AC:L)。

📜 **Exp**：官方已发布修复补丁，暂无公开在野利用报告。 🔗 **参考**：见 GitHub Security Advisory。

🔎 **自查**：检查 Plane 版本是否 < v0.23.0。 📡 **扫描**：监控服务器日志中异常的**图像加载请求**或指向内网/外部恶意域名的出站连接。

🛡️ **修复**：官方已修复。 🔧 **动作**：升级至 **v0.23.0 或更高版本**，或应用 GitHub 提交中的补丁。

🚧 **临时规避**：若无法立即升级，建议**限制出站网络访问**，阻止服务器访问非预期的外部域名或内网资源。

⚡ **优先级**：**高**。 📈 **理由**：CVSS 评分高 (H 级可用性影响)，无需认证即可利用，且影响自托管服务稳定性。建议**立即升级**。