SECURITY INTEL · DAILY

2026-10-12 每日安全情报

CSSA 2 · CVE 2 · 投毒 0

10.0 超危 · CVE-2026-108576 TOZED X300 IPPingDiagnostics组件命令注入漏洞导致远程代码执行

CSSA 独家预警 2

CSSA 独家预警 9.9 超危

sglang因授权逻辑缺陷致普通凭证越权执行管理操作影响模型完整性

当系统仅配置普通API密钥而未设置管理员专用密钥时，认证中间件在判定ADMIN_OPTIONAL级别接口权限时会错误地将普通密钥识别为有效管理凭证。攻击者利用此逻辑漏洞，通过网络发送携带普通密钥的恶意请求，即可访问/update_weights_from_disk等敏感端点，从而非法修改模型权重、加载任意LoRA适配器或启动性能分析，导致模型数据完整性受损及服务可用性下降。

组件

sglang是一款高性能的大语言模型推理服务引擎，其架构基于Python与C++混合编程，旨在通过优化内存管理与并行处理机制提升吞吐量。该系统核心组件负责接收HTTP请求、调度GPU计算资源以及管理模型权重加载，服务于需要低延迟和高并发处理的AI应用部署场景。

类型

Incorrect Authorization (CWE-863)

仓库

github.com/sgl-project/sglang · Star 37023

处置建议

建议实施严格的角色分离策略，强制区分用户与管理员凭证，并在代码层面移除单密钥部署下的隐式提权逻辑，确保所有管理操作必须经过独立且高强度的身份验证校验。

CSSA 独家预警 9.6 超危

ProxySQL输入验证缺陷致会话状态泄露破坏多租户数据隔离

攻击者利用匹配正则表达式缺乏边界锚点导致的输入验证失效，构造以受控变量名为前缀的非标准GUC（如timezone_abbreviations）执行SET命令，使请求进入解析失败分支且未锁定主机组或禁用多路复用，导致会话变量静默保留于连接池中并泄露至其他客户端，造成跨会话的数据混淆与完整性受损。

组件

ProxySQL是一款高性能的MySQL与PostgreSQL中间件，其核心架构基于连接池管理与查询路由技术，旨在通过会话复用机制优化后端数据库负载，实现高并发场景下的资源调度、负载均衡及故障转移，广泛应用于企业级分布式数据库基础设施中。

类型

Improper Input Validation (CWE-20)

仓库

github.com/sysown/proxysql · Star 6936

处置建议

建议修复正则表达式以添加严格后缀或单词边界检查，确保非受控变量触发主机组锁定；同时在处理解析失败时区分未知变量与格式错误，对未知变量强制启用安全转发模式，防止会话状态意外共享。

CVE 情报 2

CVE-2026-108576 CVSS 10.0 超危 2026年10月11日

TOZED X300 IPPingDiagnostics组件命令注入漏洞导致远程代码执行

在 TOZED X300 6.01.3 及更早版本中，其 IPPingDiagnostics Handler 组件的 process_ping 函数因对 Host 参数缺乏有效过滤，存在操作系统命令注入（CWE-77）安全缺陷。攻击者可通过操纵 Host 参数注入恶意系统命令，从而在目标设备上执行任意代码。该漏洞允许远程攻击者在无需身份验证的情况下发起攻击，严重威胁设备的机密性、完整性和可用性。该漏洞影响所有未更新至安全版本的 TOZED X300 用户。攻击者仅需通过网络发送特制请求即可完成漏洞利用，无须用户交互且可远程操控。

组件

TOZED X300 是一款网络设备，其 IPPingDiagnostics Handler 组件负责处理网络诊断相关的 Ping 请求。

风险

完全系统控制：攻击者可利用此漏洞在受害者系统上执行任意代码，根据用户权限安装程序、查看/更改/删除数据或创建具有完全权限的新账户
无用户交互攻击：通过远程网络请求即可触发漏洞，无需目标用户进行任何额外操作
高破坏性影响：CVSS 评分为 10.0，表明该漏洞可导致系统机密性、完整性和可用性受到严重影响

来源

NVD · CVE-2026-108576

处置建议

在网络边界部署防火墙或入侵检测系统，阻断针对 IPPingDiagnostics 端口的异常流量
限制对诊断功能的访问权限，仅允许受信任的管理员IP地址进行访问

CVE-2026-108804 CVSS 10.0 超危 2026年10月12日

TRENDnet路由器pigwidgeon.cgi远程命令注入漏洞导致远程代码执行

在 TRENDnet TEW-751DR、TEW-752DRU 和 TEW733GR 1.03B01/1.03B03 固件版本中，其 Web Management Backend 组件因输入验证缺失，存在命令注入（CWE-77）安全缺陷。对 pigwidgeon.cgi 文件中 service 参数的操纵可引发操作系统命令注入，威胁设备完整性与可用性。该路由器在 Web 管理后端处理请求时存在安全漏洞，攻击者可通过构造恶意请求触发，导致远程代码执行或完全控制设备。该漏洞影响所有运行受影响固件版本的 TRENDnet 路由器用户。攻击者仅需远程发起攻击即可完成漏洞利用，无须用户交互且利用代码已公开。

组件

TRENDnet 路由器是一款网络硬件设备，提供 Web 管理后端用于配置和管理网络设置。

风险

完全系统控制：攻击者可利用此漏洞在路由器上执行任意系统命令，根据系统权限修改配置、查看/更改/删除数据或安装恶意软件
无用户交互攻击：通过远程网络请求(T1190)，攻击者无需用户交互即可触发漏洞，直接操控设备
远程利用：利用代码已公开，可能被自动化攻击工具广泛使用，导致大规模设备沦陷

来源

NVD · CVE-2026-108804

处置建议

立即停止使用已停止服务（EOL）的 TRENDnet TEW-751DR、TEW-752DRU 和 TEW733GR 路由器
替换为厂商提供持续安全支持的最新型号路由器
在网络边界部署防火墙规则，阻断对路由器 Web 管理接口的未授权访问

← 返回情报中心 RSS用 CleanSource SCA 自动监测这些风险 →