2026-11-10 每日安全情報

CSSA 2 CVE 3 投毒 8

10.0 超危 Tinyproxy因Transfer-Encoding大小寫處理缺陷引發請求走私導致安全控制繞過

CSSA 獨家預警 2

CSSA 獨家預警 10.0 超危

Tinyproxy因Transfer-Encoding大小寫處理缺陷引發請求走私導致安全控制繞過

攻擊者可通過構造包含非小寫變體（如Chunked）的Transfer-Encoding頭觸發漏洞，由於組件在is_chunked_transfer函數中錯誤地使用大小寫敏感的比較邏輯識別分塊傳輸編碼，導致代理服務器誤用Content-Length進行幀界定並將原始頭部轉發至後端，而後端服務器遵循RFC規範採用分塊解析，從而產生請求邊界不同步實現HTTP請求走私，造成WAF繞過、緩存投毒及跨用户請求劫持等嚴重後果。

組件

Tinyproxy是一款輕量級的高性能HTTP與HTTPS代理服務器，其架構設計旨在為小型網絡提供高效的前置反向代理或正向代理功能，核心機制包括對上游服務器的請求轉發、響應緩存以及基本的訪問控制策略實施，以優化資源調度並增強網絡層的隔離能力。

類型

HTTP Request/Response Smuggling (CWE-444)

倉庫

github.com/tinyproxy/tinyproxy Star 6054

處置建議

建議將相關代碼中的字符串比較函數由strcmp替換為strcasecmp以實現不區分大小寫的匹配，同時依據RFC 7230規範添加CL與TE衝突解決機制，並在存在Transfer-Encoding時移除Content-Length頭部，此外可將該頭部加入跳過列表以增強防禦深度。

CSSA 獨家預警 9.9 超危

open-mercato單點登錄配置管理缺失權限校驗導致攻擊者越權獲取超級管理員權限

攻擊者利用具備sso.config.manage權限的普通管理員身份，通過構造惡意SSO配置請求，將任意外部IdP組映射至平台超級管理員角色或關聯現有高權限賬户，該漏洞源於服務端在寫入應用角色映射及執行郵箱自動鏈接時未實施目標角色特權校驗，致使攻擊者可繞過密碼與多因素認證機制直接接管超級管理員會話，受控系統面臨數據完整性破壞及服務中斷威脅。

組件

open-mercato是一款面向企業級用户管理的資源計劃系統，其核心架構依賴於RESTful API實現多功能協作與多角色權限配置，旨在優化組織內部資源調度、流程自動化及身份認證集成。

類型

Improper Privilege Management (CWE-269)

倉庫

github.com/open-mercato/open-mercato Star 1916

處置建議

建議開發人員在創建或更新SSO配置時增加服務端權限校驗邏輯，確保操作者無權授予超越自身權限的角色映射，並在自動鏈接賬户前驗證目標用户是否為超級管理員，從而阻斷非法提權路徑。

CVE 情報 3

CVE-2026-76964 CVSS 10.0 超危 2026年11月10日

SAP NetWeaver AS ABAP內存損壞漏洞導致遠程代碼執行

在SAP NetWeaver Application Server ABAP中，其內部組件因對特定網絡輸入驗證不足，存在指定輸入類型的驗證不當（CWE-1287）安全缺陷。未經身份驗證的攻擊者可發送精心構造的網絡流量，觸發受影響功能中的內存損壞條件，威脅系統穩定性與安全性。SAP NetWeaver AS ABAP在處理網絡請求時存在內存損壞漏洞，攻擊者可通過構造惡意網絡包觸發，導致遠程代碼執行或完全控制系統。該漏洞影響所有未修復的SAP NetWeaver Application Server ABAP部署場景。攻擊者無需身份驗證即可遠程發起攻擊，無須用户交互且可完全控制目標系統。

組件

SAP NetWeaver Application Server ABAP 是SAP公司提供的企業級應用服務器平台，用於運行基於ABAP語言開發的企業應用程序，支持複雜的業務邏輯處理與網絡交互。

風險

完全系統控制：攻擊者可利用此漏洞在受害者系統上執行任意代碼，根據系統權限安裝程序、查看/更改/刪除數據或創建具有完全權限的新賬户
無身份驗證攻擊：攻擊者無需任何憑證即可通過網絡發送惡意流量觸發漏洞，實現遠程代碼執行
高影響破壞：成功利用將對系統的機密性、完整性和可用性造成高影響，可能導致數據泄露、系統被篡改或服務中斷

來源

NVD CVE-2026-76964

處置建議

監控異常網絡流量及內存訪問行為日誌
對服務器環境啓用嚴格的網絡訪問控制列表（ACL）
儘快應用SAP官方發佈的安全補丁或採取臨時緩解措施阻斷可疑網絡輸入

CVE-2026-89103 CVSS 10.0 超危 2026年11月10日

SAP Gateway默認ACL高權限配置漏洞導致未授權遠程代碼執行

在 SAP Gateway 中，由於激活了具有高權限的默認訪問控制列表（ACL），導致外部攻擊者被錯誤地歸類為內部應用服務器。這一配置缺陷（CWE-863 不正確的授權）使得任何能夠通過網絡訪問 SAP Gateway 的未認證攻擊者，無需身份驗證即可利用此漏洞在應用環境中執行未授權操作。該漏洞對受影響系統的機密性、完整性和可用性造成嚴重影響，攻擊者可實現遠程代碼執行或完全控制應用環境。該漏洞影響所有存在此默認高權限 ACL 配置的 SAP Gateway 實例。攻擊者僅需網絡訪問權限即可完成漏洞利用，無須用户交互且可遠程操控。

組件

SAP Gateway 是 SAP 解決方案的一部分，用於提供 OData 服務並作為客户端與後端 SAP 系統之間的通信網關，支持企業級應用集成與數據交互。

風險

未授權訪問：攻擊者無需認證即可訪問受保護的資源，繞過安全邊界
完全系統控制：攻擊者可利用此漏洞在應用環境中執行任意未授權操作，可能導致數據泄露、篡改或服務中斷
無用户交互攻擊：通過直接網絡訪問即可觸發漏洞，無需誘導用户點擊或交互，攻擊隱蔽性強

來源

NVD CVE-2026-89103

處置建議

立即審查並修改 SAP Gateway 的默認訪問控制列表（ACL）配置，移除高權限默認設置
實施嚴格的網絡訪問控制策略，限制對 SAP Gateway 的外部訪問
啓用多因素認證和強身份驗證機制，確保只有授權用户才能訪問關鍵資源

CVE-2026-107246 CVSS 10.0 超危 2026年11月10日

Plesk Site Import路徑遍歷漏洞導致以root權限執行任意代碼

在 Plesk 擴展「Site Import」 1.13.2 版本之前，由於未正確驗證域名和會話標識符，存在路徑遍歷（CWE-22）安全缺陷。這使得非所有者訂閲用户能夠將特權後端會話重定向至其控制的目錄，從而以 root 權限執行任意代碼。該漏洞影響所有未更新至 1.13.2 版本的 Plesk 用户。攻擊者無需複雜交互，僅需利用非所有者訂閲賬户即可觸發漏洞，實現從低權限用户到系統最高權限（root）的提權，完全控制系統。

組件

Plesk 是一款流行的網站和服務器管理面板，廣泛用於簡化 Linux 和 Windows 服務器上的網站、域名、郵件和數據庫管理。

風險

從普通用户到管理員：非所有者訂閲用户可利用此漏洞繞過權限限制，獲取服務器 root 權限
完全系統控制：攻擊者可在受害者系統上以 root 權限執行任意代碼，完全控制服務器，包括安裝惡意軟件、竊取數據或破壞系統
橫向移動風險：一旦獲得 root 權限，攻擊者可進一步滲透內網其他系統

來源

NVD CVE-2026-107246

處置建議

立即將 Plesk 「Site Import」擴展升級至 1.13.2 或更高版本
審查服務器日誌，查找異常的路徑訪問或會話重定向行為
限制非管理員用户對後端會話的訪問權限，實施最小權限原則

54f3796a960695d65077513727996e87

← 返回情報中心 RSS用 CleanSource SCA 自動監測這些風險 →

2026-11-10 每日安全情報

CSSA 獨家預警 2

Tinyproxy因Transfer-Encoding大小寫處理缺陷引發請求走私導致安全控制繞過

open-mercato單點登錄配置管理缺失權限校驗導致攻擊者越權獲取超級管理員權限

CVE 情報 3

SAP NetWeaver AS ABAP內存損壞漏洞導致遠程代碼執行

SAP Gateway默認ACL高權限配置漏洞導致未授權遠程代碼執行

Plesk Site Import路徑遍歷漏洞導致以root權限執行任意代碼

投毒情報 8

focashi@1.1.0 被標記為惡意組件

yonzofficial@2.1.1 被標記為惡意組件

react-bootstrap-table2-toolkit-bg@>= 0 被標記為惡意組件

template-cards@>= 0 被標記為惡意組件

template-projection-map@>= 0 被標記為惡意組件

dowload_ebok_la_historia_universal_en_100_preguntas_by_luis_e_inigo_fernandez_0w097@>= 0 被標記為惡意組件

moltbook-api-helper@>= 0 被標記為惡意組件

moltbook-health@>= 0 被標記為惡意組件

`focashi@1.1.0` 被標記為惡意組件

`yonzofficial@2.1.1` 被標記為惡意組件

`react-bootstrap-table2-toolkit-bg@>= 0` 被標記為惡意組件

`template-cards@>= 0` 被標記為惡意組件

`template-projection-map@>= 0` 被標記為惡意組件

`dowload_ebok_la_historia_universal_en_100_preguntas_by_luis_e_inigo_fernandez_0w097@>= 0` 被標記為惡意組件

`moltbook-api-helper@>= 0` 被標記為惡意組件

`moltbook-health@>= 0` 被標記為惡意組件