← 返回情報中心
SECURITY INTEL · DAILY
RSS

2026-10-29 每日安全情報

CSSA 2 · CVE 2 · 投毒 2

10.0 超危 · Websoft9應用管理平台因代理API缺失認證機制導致反向代理配置被未授權篡改

CSSA 獨家預警 2

CSSA 獨家預警 9.9 超危

Apache Iggy Java與C# SDK因輸出編碼缺陷導致路徑遍歷引發越權刪除

攻擊者利用Java或C# HTTP客户端在構建個人訪問令牌刪除請求時未對路徑參數進行正確轉義的特性，通過構造包含路徑遍歷序列（如../）的惡意輸入，誘導URL解析器規範化路徑從而指向非預期的敏感端點。該漏洞源於缺乏對特殊字符的嚴格過濾機制，允許請求被重定向至用户管理等高危接口，導致任意賬户數據的非法刪除或系統狀態的非預期變更，嚴重破壞系統的完整性與可用性。

組件
Apache Iggy是一個基於事件驅動的高性能消息流存儲平台，其架構旨在提供低延遲的數據持久化能力。該系統通過SDK為客户端提供標準化的數據交互接口，支持多語言環境下的連接管理與資源調度，核心目的在於構建可擴展的分佈式數據處理基礎設施，確保數據在微服務間的高效流轉與可靠存儲。
類型
Improper Encoding or Escaping of Output (CWE-116)
倉庫
github.com/apache/iggy · Star 5222
處置建議
  • 建議開發人員在拼接URL路徑時對動態輸入實施嚴格的百分比編碼處理，禁止直接拼接未經清洗的用户可控字符串。同時應在服務端校驗路徑合法性，拒絕包含目錄穿越特徵段的請求，並統一各語言SDK的底層的網絡請求封裝邏輯以消除差異。
CSSA 獨家預警 10.0 超危

Websoft9應用管理平台因代理API缺失認證機制導致反向代理配置被未授權篡改

攻擊者可利用/apphub/src/api/v1/routers/proxy.py中/ api/proxys/*路徑前綴未被全局密鑰中間件攔截且未實施會話Cookie校驗的邏輯缺陷，無需任何憑證直接發送HTTP請求調用GET、POST、PUT或DELETE方法，從而枚舉SSL證書庫存、任意創建或修改應用的反向代理規則、甚至刪除現有代理配置，該行為可引發域名劫持或服務中斷，嚴重破壞受管應用的訪問控制完整性與可用性。

組件
Websoft9是一款基於容器化技術的多應用快速部署與管理平台，其核心組件AppHub負責統一調度後端微服務、管理應用生命週期及配置網絡路由策略，系統架構採用前後端分離設計，旨在通過標準化接口實現基礎設施即代碼的自動化運維目標。
類型
Missing Authentication for Critical Function (CWE-306)
倉庫
github.com/Websoft9/websoft9 · Star 2132
處置建議
  • 建議在所有免除全局身份驗證的路由處理函數中強制引入會話令牌校驗機制，確保業務邏輯層具備完整的權限上下文檢查能力，並定期審計API接口的鑑權覆蓋範圍以消除潛在的安全盲區。

CVE 情報 2

CVE-2026-14571 CVSS 10.0 超危 2026年10月28日

Futurum Software管理軟件盲SQL注入漏洞導致敏感數據泄露

在Futurum Software的管理軟件中，由於對私有區域數據庫查詢中用户提供的輸入缺乏充分的驗證和清理，以及WAF配置不當，存在盲SQL注入（CWE-89）安全缺陷。攻擊者僅通過發送經過篡改的HTTP請求即可繞過防護機制。成功利用該漏洞可使未經身份驗證的攻擊者對數據庫執行任意查詢，提取其完整結構，並獲取包括個人身份信息（PII）在內的敏感客户信息。該漏洞影響所有未修復此缺陷的Futurum Software管理軟件部署環境。攻擊者無需身份驗證即可遠程發起攻擊，直接威脅數據機密性。

組件
Futurum Software是一款企業管理軟件，用於處理內部業務邏輯及客户數據管理，涉及敏感信息的存儲與交互。
風險
  • 敏感數據泄露：攻擊者可提取數據庫完整結構及包含個人身份信息（PII）在內的敏感客户數據
  • 未授權訪問：未經身份驗證的攻擊者即可執行任意數據庫查詢，完全繞過身份認證機制
  • 數據完整性破壞：攻擊者可能通過SQL注入修改或刪除關鍵業務數據，導致業務邏輯混亂
來源
NVD · CVE-2026-14571
處置建議
  • 立即更新WAF配置，確保對私有區域數據庫查詢進行嚴格的輸入驗證和清理
  • 對數據庫查詢參數實施參數化查詢或預編譯語句，從根本上防止SQL注入
  • 監控異常HTTP請求模式，特別是針對私有區域接口的非常規查詢行為
CVE-2026-112197 CVSS 10.0 超危 2026年10月28日

NoviGest Java RMI未認證遠程代碼執行漏洞導致服務器完全控制

在NoviGest桌面應用程序中，其Java RMI服務在關鍵功能上缺乏身份驗證機制，存在關鍵功能認證缺失（CWE-306）安全缺陷。擁有對該服務網絡訪問權限的攻擊者可以在無需身份驗證的情況下調用遠程方法，獲取敏感憑據，並在PostgreSQL數據庫上執行任意SQL查詢。由於數據庫賬户擁有高權限，攻擊者可以將這些能力串聯起來，從而在服務器上執行操作系統命令，破壞系統的機密性、完整性和可用性。該漏洞影響所有未修復的NoviGest桌面應用部署環境。攻擊者僅需具備網絡訪問權限即可發起攻擊，無需用户交互且可遠程操控。

組件
NoviGest 是一款桌面應用程序，其內部包含基於Java RMI的服務組件，用於處理關鍵業務邏輯並與PostgreSQL數據庫進行交互。
風險
  • 從普通用户到管理員：如果受害者以管理員權限運行應用程序，攻擊者可獲得相同權限
  • 完全系統控制：攻擊者可利用此漏洞在受害者系統上執行任意代碼，根據用户權限安裝程序、查看/更改/刪除數據或創建具有完全權限的新賬户
  • 無用户交互攻擊：通過直接網絡訪問服務，攻擊者無需誘導用户點擊或交互即可觸發漏洞，實現遠程代碼執行
來源
NVD · CVE-2026-112197
處置建議
  • 限制Java RMI服務的網絡訪問權限，僅允許受信任的IP地址連接
  • 為數據庫賬户實施最小權限原則，避免使用高權限賬户連接應用

投毒情報 2

投毒情報 npm 2026年10月29日

mock-transactions-sdk@>= 0 被標記為惡意組件

該版本被發現與惡意活動相關域名通信並執行惡意命令，請立即排查依賴並鎖定版本。

MD5
a44897d057c33ac9e65085cebf75a923
投毒情報 npm 2026年10月29日

transaction-info-generate-sdk@>= 0 被標記為惡意組件

該版本被發現與惡意活動相關域名通信並執行惡意命令，請立即排查依賴並鎖定版本。

MD5
9101a77d1804fa33d36a3d64bc8aed20
← 返回情報中心RSS用 CleanSource SCA 自動監測這些風險 →