新发布SkillSec：把 Skills 安全从恶意检测，升维到能力审计SkillSec了解更多 →
← 返回情报中心
SECURITY INTEL · DAILY
RSS

2026-07-07 每日安全情报

CSSA 1 · CVE 2 · 投毒 1

10.0 超危 · CVE-2026-57572 Crawl4AI Docker API参数注入导致任意命令执行

CSSA 独家预警 1

CSSA 独家预警 9.9 超危

Dolibarr用户克隆接口参数篡改致越权提权与系统全面接管

该缺陷源于用户克隆端点未对目标对象实施动态授权校验，攻击者仅需具备基础克隆权限即可构造恶意网络请求。通过直接篡改请求负载中的标识符参数，调用方可绕过前端界面限制与会话级防重放令牌验证，强制触发后端数据复制逻辑。此操作将受保护的高权限账户配置完整映射至新实例，致使初始低权限身份继承全部系统管理策略。受控环境将面临横向移动风险扩大化威胁，攻击链无需额外交互即可达成全局配置篡改，敏感数据批量导出及核心业务流程中断后果。

组件
Dolibarr是一款开源的企业资源计划与客户关系管理集成平台，其架构采用模块化设计并依赖PHP与关系型数据库构建后端服务。系统核心涵盖财务管理，库存控制，人力资源及项目管理等多元业务模块，旨在为中小企业提供高度可定制的工作流自动化方案。该平台通过基于角色的访问控制机制实现多租户数据隔离，并依托We…
类型
Authorization Bypass Through User-Controlled Key (CWE-639)
仓库
github.com/Dolibarr/dolibarr · Star 7385
处置建议
  • 建议开发团队实施严格的对象级访问控制策略，在业务逻辑层引入目标实体权限二次鉴权机制。需对高危账户标识建立硬编码拦截规则，确保敏感操作仅限特权上下文执行。同时应将安全令牌与作用域参数进行哈希绑定，并部署完整的审计日志记录模块以追踪异常数据变更轨迹。

CVE 情报 2

CVE-2026-57572 CVSS 10.0 超危 2026年07月07日

Crawl4AI Docker API参数注入导致任意命令执行

在 Crawl4AI 0.9.0 版本之前，其 Docker API 服务器存在参数注入（CWE-88）安全缺陷。该 API 默认未启用身份验证，且会接受请求中提供的 browser_config.extra_args 参数，该参数直接传入 Chromium 的启动参数中。攻击者可以注入 Chromium 启动开关（switches），结合 --no-zygote 参数替换子进程启动命令，从而导致 Chromium 以容器运行时用户的身份 fork 或 exec 执行攻击者控制的命令。由于无需认证，单个请求即可导致任意命令执行。该漏洞影响所有未更新至 0.9.0 的 Crawl4AI 用户，特别是部署了 Docker API 服务的场景。攻击者无需用户交互，仅需发送特制请求即可远程执行任意代码，完全控制容器环境。

组件
Crawl4AI 是一个面向大型语言模型（LLM）的开源网络爬虫和抓取工具，旨在为 LLM 提供友好的数据抓取服务。
风险
  • 完全系统控制：攻击者可利用此漏洞在容器内执行任意代码，根据容器运行时用户权限安装程序、查看/更改/删除数据或创建具有完全权限的新账户
  • 无认证远程攻击：由于 Docker API 默认未启用身份验证，攻击者无需任何凭证即可发起攻击
  • 容器逃逸风险：若容器配置不当，攻击者可能利用此漏洞进一步逃逸至宿主机，威胁整个基础设施安全
来源
NVD · CVE-2026-57572
处置建议
  • 立即升级 Crawl4AI 至 0.9.0 或更高版本
  • 为 Docker API 启用身份验证机制，限制访问权限
  • 对传入的 browser_config.extra_args 参数进行严格的白名单校验或过滤
CVE-2026-42341 CVSS 9.8 超危 2026年07月07日

FOSSBilling未认证支付绕过漏洞导致账户信用篡改

在 FOSSBilling 0.6.0 至 0.7.2 版本中，其 IPN 回调端点因关键功能认证机制缺失（CWE-306），存在未认证的支付绕过安全缺陷。当启用 Custom payment adapter 时，攻击者可通过发送单个精心构造的 HTTP 请求，将任何未支付的发票标记为已支付，并为关联的客户账户进行信用入账，而无需进行实际支付。该漏洞影响所有未更新至 0.8.0 的 FOSSBilling 用户。攻击者无需认证即可远程触发，直接导致业务逻辑被绕过和财务数据完整性受损。

组件
FOSSBilling 是一款免费的开源计费与客户管理系统，广泛用于管理发票、支付和客户账户。
风险
  • 财务损失与欺诈：攻击者可将未支付发票标记为已支付，导致服务提供商收入损失
  • 账户信用篡改：攻击者可随意增加客户账户信用，破坏计费系统的公平性与准确性
  • 无认证远程攻击：攻击者无需任何凭据，仅需构造特定 HTTP 请求即可利用漏洞，无需用户交互
来源
NVD · CVE-2026-42341
处置建议
  • 立即升级 FOSSBilling 至 0.8.0 或更高版本以修复该漏洞
  • 如果无法立即升级，请禁用 Custom payment gateway（如果未积极使用）
  • 在 Web 服务器级别限制对 /ipn.php 的访问（例如，通过 IP 白名单），但需注意这可能干扰合法的支付回调处理

投毒情报 1

投毒情报 npm 2026年07月07日

zluri-ad-connector@9.9.9 被标记为恶意组件

该版本被发现与恶意活动相关域名通信并执行恶意命令，请立即排查依赖并锁定版本。

MD5
994041160386b84249e0fb118491e345
← 返回情报中心RSS用 CleanSource SCA 自动监测这些风险 →