← 返回情報中心

2026-11-03 每日安全情報

RSS

CSSA 2 CVE 2 投毒 4

10.0 超危 Odin壓縮組件因缺乏邊界檢查允許越界寫入導致內存破壞

CSSA 獨家預警 2

CSSA 獨家預警 10.0 超危

Odin壓縮組件因缺乏邊界檢查允許越界寫入導致內存破壞

攻擊者可通過構造惡意的壓縮數據流（如截斷的DEFLATE流或特定模式的零字節流），觸發zlib.inflate或gzip.load函數在內部緩衝區擴容至COMPRESS_OUTPUT_ALLOCATE_MAX上限後繼續執行寫入操作，由於grow_buffer函數在達到上限時未返回錯誤且write_byte等底層寫入過程缺失後續長度校驗並禁用了邊界檢查，導致數據被寫入堆內存塊之外，造成堆緩衝區溢出，進而引發拒絕服務、任意代碼執行或敏感信息泄露。

組件
Odin是一種系統級編程語言及其標準庫集合，其core/compress模塊旨在為應用程序提供高效的流式與緩衝式數據壓縮解壓功能，該組件通過動態內存管理機制處理可變長度的輸入輸出數據流，核心設計目標是實現高性能的Zlib及Gzip協議兼容處理，並在資源受限環境中保持低開銷的數據轉換能力。
類型
Out-of-bounds Write (CWE-787)
倉庫
github.com/odin-lang/Odin Star 12274
處置建議
  • 修復此類漏洞需在緩衝區擴容邏輯中增加嚴格的上限校驗，確保噹噹前長度達到預設最大值時立即返回錯誤而非靜默失敗；同時在所有底層寫入操作前重新驗證剩餘空間是否充足，若空間不足則終止處理並上報錯誤；此外應移除關鍵的#no_bounds_check編譯指令以啓用默認運行時安全檢查。
CSSA 獨家預警 10.0 超危

php-src pdo_pgsql驅動因預準備語句列數變化引發越界讀取導致服務崩潰

當啓用PDO::ATTR_EMULATE_PREPARES模式時，若預準備語句在第二次執行返回的列數多於首次執行，內部數組S->cols和stmt->columns仍保持初始大小分配，導致索引越界讀取。攻擊者可通過併發執行ALTER TABLE添加列或切換視圖改變結果集結構，觸發zend_symtable_update使用懸空指針，造成堆緩衝區溢出，進而引發進程崩潰或潛在的信息泄露，嚴重影響系統可用性。

組件
php-src是PHP語言的源代碼倉庫，其pdo_pgsql擴展作為核心數據訪問組件，負責實現PHP應用程序與PostgreSQL數據庫之間的標準化連接與交互。該模塊採用面向對象架構設計，旨在提供高效的預處理語句執行、參數綁定及結果集解析功能，確保在複雜業務邏輯中能夠安全、穩定地處理大規模併發數據庫查詢請求，是企業級Web應用後端數據持久層的關鍵依賴。
類型
Out-of-bounds Read (CWE-125)
倉庫
github.com/php/php-src Star 41759
處置建議
  • 建議禁用模擬預處理模式以利用原生驅動保護，或在代碼層面嚴格校驗動態變化的結果集元數據，確保每次執行前重新分配並驗證列描述數組的大小與內存邊界。

CVE 情報 2

CVE-2026-105604 CVSS 10.0 超危 2026年11月03日

DJ-Classifieds未認證SQL注入導致遠程代碼執行

在 DJ-Classifieds 3.11.3 版本前，其前端搜索功能因輸入驗證缺失，存在未認證 SQL 注入（CWE-89）安全缺陷。攻擊者可通過構造惡意搜索請求，直接操縱後端數據庫查詢語句，導致敏感數據泄露或數據庫被完全控制。該 Joomla 擴展在搜索接口處存在嚴重邏輯漏洞，攻擊者無需任何身份驗證即可遠程觸發，導致數據完整性破壞及潛在的系統接管。該漏洞影響所有未更新至 3.11.3 的 DJ-Classifieds 用户，包括所有部署該擴展的 Joomla 網站。攻擊者僅需發送特製的 HTTP 請求即可完成漏洞利用，無須用户交互且可遠程操控。

組件
DJ-Classifieds 是一款流行的 Joomla 分類廣告擴展，允許網站管理員創建和管理在線分類列表，支持前端搜索、發佈和管理功能。
風險
  • 從普通用户到管理員：如果數據庫權限配置不當，攻擊者可能通過 SQL 注入修改管理員密碼或提升權限
  • 完全系統控制：攻擊者可利用此漏洞讀取、修改或刪除數據庫中的敏感信息（如用户憑證、交易記錄），甚至通過特定數據庫函數執行操作系統命令
  • 無用户交互攻擊：通過自動化腳本掃描和攻擊，攻擊者無需誘導用户點擊任何鏈接，直接針對網站搜索接口發起攻擊即可觸發漏洞
來源
NVD CVE-2026-105604
處置建議
  • 立即將 DJ-Classifieds 擴展升級至 3.11.3 或更高版本
  • 在 Web 應用防火牆（WAF）中配置規則，攔截包含 SQL 注入特徵的搜索請求
  • 限制前端搜索接口的訪問頻率，並監控異常的數據庫查詢日誌
CVE-2026-120442 CVSS 9.8 超危 2026年11月02日

ape-volo-admin JWT硬編碼密鑰認證繞過漏洞導致完全API控制權

在 ape-volo-admin 3.6.1 版本前，其身份驗證模塊因配置不當，存在使用默認加密密鑰（CWE-1394）安全缺陷。appsettings.json 中硬編碼的 JWT 簽名密鑰允許未經身份驗證的攻擊者離線偽造管理員令牌。攻擊者可通過將 jti 聲明設置為種子管理員 ID 來簽名令牌，從而獲得對用户、角色、權限和數據的完整 API 控制權。該漏洞影響所有未更新至 3.6.1 的 ape-volo-admin 用户。攻擊者無需任何用户交互即可遠程利用此漏洞，直接獲取系統最高權限。

組件
ape-volo-admin 是一個基於 JWT 進行身份驗證的管理後台系統，用於管理用户、角色、權限及數據。
風險
  • 從普通用户到管理員：攻擊者無需初始憑據，直接通過偽造令牌獲取管理員權限
  • 完全系統控制：攻擊者可利用此漏洞完全控制 API，包括查看、修改或刪除所有用户數據、角色配置及系統權限
  • 無用户交互攻擊：攻擊者可通過網絡直接發送惡意請求觸發漏洞，無需目標用户進行任何點擊或交互
來源
NVD CVE-2026-120442
處置建議
  • 立即升級 ape-volo-admin 至 3.6.1 或更高版本
  • 移除 appsettings.json 中的硬編碼 JWT 密鑰，改用環境變量或密鑰管理服務
  • 監控 API 訪問日誌，檢測異常的令牌簽名或高頻管理員操作行為

投毒情報 4

投毒情報 npm 2026年11月03日

levvleys@2.0.4 被標記為惡意組件

該版本被發現與惡意活動相關域名通信並執行惡意命令，請立即排查依賴並鎖定版本。

MD5
15c9723944c2518b26c6e85e328e323c
投毒情報 npm 2026年11月03日

@levvicode/libsignal-node@>= 0 被標記為惡意組件

該版本被發現與惡意活動相關域名通信並執行惡意命令，請立即排查依賴並鎖定版本。

MD5
4181abb2003dd3f086d1e2288a2e3975
投毒情報 npm 2026年11月03日

unjailed@>= 0 被標記為惡意組件

該版本被發現與惡意活動相關域名通信並執行惡意命令，請立即排查依賴並鎖定版本。

MD5
fb14c95eabc5335e6979b5a337ca6cb3
投毒情報 npm

pandafortunerush@>= 0 被標記為惡意組件

該版本被發現與惡意活動相關域名通信並執行惡意命令，請立即排查依賴並鎖定版本。

MD5
662f4a8
← 返回情報中心RSS用 CleanSource SCA 自動監測這些風險 →