新发布SkillSec：把 Skills 安全从恶意检测，升维到能力审计SkillSec了解更多 →
← 返回情报中心
SECURITY INTEL · DAILY
RSS

2026-10-13 每日安全情报

CSSA 2 · CVE 2 · 投毒 2

10.0 超危 · RocketMQ ACL迁移组件因权限解析逻辑缺陷导致未授权访问风险

CSSA 独家预警 2

CSSA 独家预警 9.8 超危

OpenTSDB JEXL表达式注入漏洞导致未授权远程代码执行

攻击者利用/api/query/exp端点缺乏沙箱隔离的缺陷，构造包含Java反射调用的恶意JEXL表达式，绕过仅检查语法合法性的验证机制，触发Runtime.exec方法执行任意操作系统命令。由于默认配置禁用身份认证，该漏洞具备网络可达性且无需权限，导致服务器完全沦陷，引发数据泄露、横向移动及服务中断等严重后果。

组件
OpenTSDB是一款基于HBase的分布式时序数据监控系统，其核心架构依赖于高效的时间序列数据存储与检索能力。系统通过RESTful API提供数据采集、查询及可视化接口，旨在支持大规模基础设施的性能监控与分析，内部集成JEXL引擎以支持复杂的动态数据聚合与逻辑运算，满足多维度的实时监控需求。
类型
Code Injection (CWE-94)
仓库
github.com/OpenTSDB/opentsdb · Star 5064
处置建议
  • 建议启用严格的表达式沙箱模式，限制JEXL引擎对Java类的访问权限；实施强制身份认证机制，防止未授权访问敏感API；对用户输入进行深度内容过滤，禁止包含危险类名或方法调用的表达式；及时升级组件至修复版本并遵循最小权限原则部署服务。
CSSA 独家预警 10.0 超危

RocketMQ ACL迁移组件因权限解析逻辑缺陷导致未授权访问风险

该漏洞存在于RocketMQ从ACL 1.0向2.0迁移的过程中，AuthMigrator组件在解析旧版配置时存在严重的逻辑错误。当遇到非标准或未识别的权限字符串（如ANY或拼写错误）时，代码默认将其转换为允许所有操作（Action.ALL）并设置为允许决策（Decision.ALLOW），而非预期的拒绝访问。攻击者无需复杂交互即可利用此缺陷，通过构造特定旧版配置文件或利用现有异常配置，使原本应被拒绝的资源获得完全访问权，导致未经授权的敏感数据读取或篡改。

组件
Apache RocketMQ是一款分布式消息中间件，其核心架构包含Broker、NameServer及客户端组件，旨在实现高吞吐、低延迟的消息发布与订阅服务。系统通过ACL模块提供细粒度的访问控制机制，确保不同用户对Topic及Group资源的读写权限符合安全策略，支撑企业级消息队列的稳定运行与数据隔离。
类型
Incorrect Authorization (CWE-863)
仓库
github.com/apache/rocketmq · Star 22636
处置建议
  • 建议修复权限解析逻辑，确保仅对明确定义的有效权限值授予允许决策，将所有未知或非法输入严格映射为拒绝状态，以遵循最小权限原则并防止权限提升。

CVE 情报 2

CVE-2026-108892 CVSS 10.0 超危 2026年10月12日

Linksys E1700 Mac Filter组件栈溢出漏洞导致远程代码执行

在 Linksys E1700 1.0.0.4.003 版本中，其 Mac Filter 组件的 /goform/ssid1MACFilter 文件内的 ssid1MACFilter 函数存在安全缺陷。该漏洞源于对参数 newap_text_%d 的处理不当，导致基于栈的缓冲区溢出（CWE-119）。攻击者可以远程发起攻击，利用该漏洞覆盖栈内存，进而可能实现远程代码执行。该漏洞利用方式已被公开披露，且厂商在披露早期被联系但未作出任何回应，目前无官方补丁。该漏洞影响所有运行 Linksys E1700 1.0.0.4.003 固件的设备。攻击者无需用户交互即可通过网络远程触发漏洞，风险极高。

组件
Linksys E1700 是一款家用无线路由器，提供 Wi-Fi 连接和网络管理功能，其中 Mac Filter 组件用于控制允许接入网络的设备。
风险
  • 完全系统控制：攻击者可利用此漏洞在路由器上执行任意代码，获取设备的完全控制权，包括修改配置、窃取数据或将其纳入僵尸网络
  • 远程无交互攻击：攻击者仅需向目标设备发送特制的网络请求即可触发漏洞，无需任何用户点击或交互
  • 服务中断与数据泄露：栈溢出可能导致设备崩溃（拒绝服务），或允许攻击者读取敏感内存数据
来源
NVD · CVE-2026-108892
处置建议
  • 立即隔离受影响的 Linksys E1700 设备，避免其直接暴露于公网
  • 在网络边界部署入侵检测系统（IDS），监控针对 /goform/ssid1MACFilter 的异常请求
CVE-2026-108907 CVSS 10.0 超危 2026年10月13日

Netcore NR268 CGI Execution身份认证绕过漏洞导致远程代码执行

在 Netcore NR268 1.7.121109 版本中，其 CGI Execution 组件因 user_ok 函数存在逻辑缺陷，导致 认证机制不恰当（CWE-287） 安全漏洞。攻击者可通过远程发起请求，绕过身份验证机制，直接获取系统控制权。该漏洞利用方法已被公开披露，且厂商在披露早期未作出任何回应，风险极高。该漏洞影响所有运行 Netcore NR268 1.7.121109 的设备，攻击者无需用户交互即可远程发起攻击，可能导致数据泄露、完整性破坏及服务不可用。

组件
Netcore NR268 是一款网络设备，其 CGI Execution 组件负责处理 Web 管理界面的请求交互。
风险
  • 完全系统控制：攻击者可利用此漏洞绕过身份验证，在受害者系统上执行任意代码，根据用户权限安装程序、查看/更改/删除数据或创建具有完全权限的新账户
  • 无用户交互攻击：攻击可远程发起，无需用户交互，攻击者仅需构造特定请求即可触发漏洞
  • 高影响范围：CVSS 评分为 10.0，机密性、完整性和可用性均受到严重影响
来源
NVD · CVE-2026-108907
处置建议
  • 立即隔离受影响的 Netcore NR268 设备，避免其暴露于公网
  • 监控 CGI 接口的异常访问日志，识别潜在的未授权访问尝试

投毒情报 2

投毒情报 npm 2026年10月13日

@xrelly-stack/bails@>= 0 被标记为恶意组件

该版本被发现与恶意活动相关域名通信并执行恶意命令，请立即排查依赖并锁定版本。

MD5
b76e35bf7f3bac446b7a0fc87b073fb8
投毒情报 npm 2026年10月13日

node-telegram-sockets@>= 0 被标记为恶意组件

该版本被发现与恶意活动相关域名通信并执行恶意命令，请立即排查依赖并锁定版本。

MD5
022fa9a712eb8aefdfe75379c9b9c880
← 返回情报中心RSS用 CleanSource SCA 自动监测这些风险 →