CVE-2026-9517 — 神龙十问 AI 深度分析摘要

🚨 **本质**：访问控制失效。攻击者无需登录即可访问“添加学生”视图页面。后果：敏感管理功能暴露，可能导致数据泄露或非法录入。

🛡️ **根本原因**：身份验证逻辑缺失。在 `/index.php/students/addStudentView` 路径中，未正确校验用户会话或权限令牌，导致**未授权访问**。

📦 **影响对象**：`hemant6488` 开发的 **CodeIgniter-StudentManagementSystem**。因采用滚动发布，**所有版本**均可能受影响，无具体版本号。

🕵️ **黑客能力**：直接访问管理界面。可执行**非法添加学生**、查看内部结构等操作。虽CVSS显示影响有限，但破坏了系统的完整性与机密性。

🚪 **利用门槛**：**极低**。CVSS评分 `AV:N/AC:L/PR:N/UI:N`。无需认证（PR:N），无需用户交互（UI:N），远程即可直接利用。

💣 **Exp现状**：**有**。相关利用代码已公开披露（见VulDB提交#814277及GitHub Issue #5），攻击者可快速复现利用。

🔍 **自查方法**：直接访问 `http://target/index.php/students/addStudentView`。若无需登录即可看到表单或页面内容，即存在漏洞。

🚫 **官方修复**：**未修复**。项目已获知问题，但至今**未回应**，无补丁发布。滚动发布模式使得打补丁变得复杂。

🛠️ **临时规避**：在Web服务器（Nginx/Apache）配置中，**禁止外部访问** `/students/addStudentView` 路径。或实施WAF规则拦截该URI。

⚠️ **优先级**：**高**。虽CVSS总分不高，但**无认证即可利用**且**无补丁**。建议立即采取网络层隔离或访问控制措施，防止被自动化扫描利用。