织梦 CMS 文件上传漏洞公告里的 CVSS 6.3 该怎么读

看到织梦 CMS 公告里的 CVSS 6.3，正确的读法是：分值只回答「有多严重」，不回答「我的站会不会中招」。6.3 属中危区间，但上传类漏洞的实际风险由三个条件决定——上传入口是否对外暴露、利用它需不需要先拿到账号、厂商修复是否已经可用。这条公告的修复状态是未知，意味着处置重心不在等补丁，而在把自己的防线收紧。

分值之外要看的三个条件

第一看入口。文件上传的薄弱点通常分两处：后台媒体库要求登录，风险取决于账号安全；前台表单（头像、附件、留言带文件）游客就能碰，才是公告类风险的主战场。入口暴露与否，比 CVSS 小数点后的差异更影响你的处置优先级。

第二看权限门槛。6.3 的中危评级往往意味着利用有前置条件，例如需要特定配置或低权限账号；但上传漏洞一旦被链上「解析执行」的老问题，危害会从「存个文件」升级成「跑段代码」，这类组合利用在中危编号上并不罕见。

第三看修复可用性。厂商修复版本未知，是当前最扎手的部分：没有补丁可升时，虚拟补丁、访问限制、关闭不必要入口就是主要手段，而不是「中危所以先放放」。

上传入口的常见薄弱点

无后缀白名单校验、只查第一层扩展名（复合后缀能绕过）、文件名可预测被遍历、上传目录仍可执行脚本，是上传功能的四类经典问题。评估自家 CMS 时可以把这四条当作现成的检查清单，逐条问「拦在哪一层」。

站内该配的三道防线

防线一在提交前：给注册、留言、附件类表单配验证码，AnQiCMS 内置 reCAPTCHA 验证码接入，图形验证码挡机器批量提交，reCAPTCHA 处理更复杂的脚本化攻击，两者不是同一层。防线二在落库时：文件与文本进入内容库前过一遍内容审核与敏感词过滤，异常命名、异常类型的上传在这里被拦下并可追溯。防线三在根源上：接口层用 JWT 认证收紧会话，输入输出都做出转义处理，把 SQL 注入与 XSS 的连锁路径提前掐断。三道线各管一段，任何单点失守不至于直接变成任意文件落地。

常见问题

问：中危漏洞要不要连夜处理？ 答：先看你的入口是否暴露；前台可上传且无审核的站，中危也按紧急处理。

问：等了两个月还没有官方修复怎么办？ 答：关闭或收敛上传入口、限制目录执行权限、上前置验证码，都比干等有用。

问：换了系统是不是就不用管？ 答：防线思路通用，任何内容系统都要回答「提交前、落库时、根源上」这三层有没有人把关。