新發布SkillSec：把 Skills 安全從惡意檢測，升維到能力審計SkillSec瞭解更多 →
← 返回情報中心
SECURITY INTEL · DAILY
RSS

2026-10-13 每日安全情報

CSSA 2 · CVE 2 · 投毒 2

10.0 超危 · RocketMQ ACL遷移組件因權限解析邏輯缺陷導致未授權訪問風險

CSSA 獨家預警 2

CSSA 獨家預警 9.8 超危

OpenTSDB JEXL表達式注入漏洞導致未授權遠程代碼執行

攻擊者利用/api/query/exp端點缺乏沙箱隔離的缺陷，構造包含Java反射調用的惡意JEXL表達式，繞過僅檢查語法合法性的驗證機制，觸發Runtime.exec方法執行任意操作系統命令。由於默認配置禁用身份認證，該漏洞具備網絡可達性且無需權限，導致服務器完全淪陷，引發數據泄露、橫向移動及服務中斷等嚴重後果。

組件
OpenTSDB是一款基於HBase的分佈式時序數據監控系統，其核心架構依賴於高效的時間序列數據存儲與檢索能力。系統通過RESTful API提供數據採集、查詢及可視化接口，旨在支持大規模基礎設施的性能監控與分析，內部集成JEXL引擎以支持複雜的動態數據聚合與邏輯運算，滿足多維度的實時監控需求。
類型
Code Injection (CWE-94)
倉庫
github.com/OpenTSDB/opentsdb · Star 5064
處置建議
  • 建議啓用嚴格的表達式沙箱模式，限制JEXL引擎對Java類的訪問權限；實施強制身份認證機制，防止未授權訪問敏感API；對用户輸入進行深度內容過濾，禁止包含危險類名或方法調用的表達式；及時升級組件至修復版本並遵循最小權限原則部署服務。
CSSA 獨家預警 10.0 超危

RocketMQ ACL遷移組件因權限解析邏輯缺陷導致未授權訪問風險

該漏洞存在於RocketMQ從ACL 1.0向2.0遷移的過程中，AuthMigrator組件在解析舊版配置時存在嚴重的邏輯錯誤。當遇到非標準或未識別的權限字符串（如ANY或拼寫錯誤）時，代碼默認將其轉換為允許所有操作（Action.ALL）並設置為允許決策（Decision.ALLOW），而非預期的拒絕訪問。攻擊者無需複雜交互即可利用此缺陷，通過構造特定舊版配置文件或利用現有異常配置，使原本應被拒絕的資源獲得完全訪問權，導致未經授權的敏感數據讀取或篡改。

組件
Apache RocketMQ是一款分佈式消息中間件，其核心架構包含Broker、NameServer及客户端組件，旨在實現高吞吐、低延遲的消息發佈與訂閲服務。系統通過ACL模塊提供細粒度的訪問控制機制，確保不同用户對Topic及Group資源的讀寫權限符合安全策略，支撐企業級消息隊列的穩定運行與數據隔離。
類型
Incorrect Authorization (CWE-863)
倉庫
github.com/apache/rocketmq · Star 22636
處置建議
  • 建議修復權限解析邏輯，確保僅對明確定義的有效權限值授予允許決策，將所有未知或非法輸入嚴格映射為拒絕狀態，以遵循最小權限原則並防止權限提升。

CVE 情報 2

CVE-2026-108892 CVSS 10.0 超危 2026年10月12日

Linksys E1700 Mac Filter組件棧溢出漏洞導致遠程代碼執行

在 Linksys E1700 1.0.0.4.003 版本中，其 Mac Filter 組件的 /goform/ssid1MACFilter 文件內的 ssid1MACFilter 函數存在安全缺陷。該漏洞源於對參數 newap_text_%d 的處理不當，導致基於棧的緩衝區溢出（CWE-119）。攻擊者可以遠程發起攻擊，利用該漏洞覆蓋棧內存，進而可能實現遠程代碼執行。該漏洞利用方式已被公開披露，且廠商在披露早期被聯繫但未作出任何回應，目前無官方補丁。該漏洞影響所有運行 Linksys E1700 1.0.0.4.003 固件的設備。攻擊者無需用户交互即可通過網絡遠程觸發漏洞，風險極高。

組件
Linksys E1700 是一款家用無線路由器，提供 Wi-Fi 連接和網絡管理功能，其中 Mac Filter 組件用於控制允許接入網絡的設備。
風險
  • 完全系統控制：攻擊者可利用此漏洞在路由器上執行任意代碼，獲取設備的完全控制權，包括修改配置、竊取數據或將其納入殭屍網絡
  • 遠程無交互攻擊：攻擊者僅需向目標設備發送特製的網絡請求即可觸發漏洞，無需任何用户點擊或交互
  • 服務中斷與數據泄露：棧溢出可能導致設備崩潰（拒絕服務），或允許攻擊者讀取敏感內存數據
來源
NVD · CVE-2026-108892
處置建議
  • 立即隔離受影響的 Linksys E1700 設備，避免其直接暴露於公網
  • 在網絡邊界部署入侵檢測系統（IDS），監控針對 /goform/ssid1MACFilter 的異常請求
CVE-2026-108907 CVSS 10.0 超危 2026年10月13日

Netcore NR268 CGI Execution身份認證繞過漏洞導致遠程代碼執行

在 Netcore NR268 1.7.121109 版本中，其 CGI Execution 組件因 user_ok 函數存在邏輯缺陷，導致 認證機制不恰當（CWE-287） 安全漏洞。攻擊者可通過遠程發起請求，繞過身份驗證機制，直接獲取系統控制權。該漏洞利用方法已被公開披露，且廠商在披露早期未作出任何回應，風險極高。該漏洞影響所有運行 Netcore NR268 1.7.121109 的設備，攻擊者無需用户交互即可遠程發起攻擊，可能導致數據泄露、完整性破壞及服務不可用。

組件
Netcore NR268 是一款網絡設備，其 CGI Execution 組件負責處理 Web 管理界面的請求交互。
風險
  • 完全系統控制：攻擊者可利用此漏洞繞過身份驗證，在受害者系統上執行任意代碼，根據用户權限安裝程序、查看/更改/刪除數據或創建具有完全權限的新賬户
  • 無用户交互攻擊：攻擊可遠程發起，無需用户交互，攻擊者僅需構造特定請求即可觸發漏洞
  • 高影響範圍：CVSS 評分為 10.0，機密性、完整性和可用性均受到嚴重影響
來源
NVD · CVE-2026-108907
處置建議
  • 立即隔離受影響的 Netcore NR268 設備，避免其暴露於公網
  • 監控 CGI 接口的異常訪問日誌，識別潛在的未授權訪問嘗試

投毒情報 2

投毒情報 npm 2026年10月13日

@xrelly-stack/bails@>= 0 被標記為惡意組件

該版本被發現與惡意活動相關域名通信並執行惡意命令，請立即排查依賴並鎖定版本。

MD5
b76e35bf7f3bac446b7a0fc87b073fb8
投毒情報 npm 2026年10月13日

node-telegram-sockets@>= 0 被標記為惡意組件

該版本被發現與惡意活動相關域名通信並執行惡意命令，請立即排查依賴並鎖定版本。

MD5
022fa9a712eb8aefdfe75379c9b9c880
← 返回情報中心RSS用 CleanSource SCA 自動監測這些風險 →