新发布SkillSec：把 Skills 安全从恶意检测，升维到能力审计SkillSec了解更多 →
← 返回情报中心
SECURITY INTEL · DAILY
RSS

2026-10-14 每日安全情报

CSSA 2 · CVE 2 · 投毒 8

10.0 超危 · CVE-2026-65162 NVIDIA AIStore Kubernetes PodSpec初始化远程代码执行漏洞导致远程代码执行

CSSA 独家预警 2

CSSA 独家预警 9.6 超危

CockroachDB SECURITY DEFINER函数复合类型授权检查失效致越权访问

攻击者可利用SECURITY DEFINER函数对复合参数类型的权限校验缺陷，通过构造恶意ROW对象绕过类型级访问控制，使无特权用户得以调用定义者权限下的敏感函数，导致机密性与完整性受损。

组件
CockroachDB是一款分布式SQL数据库，旨在提供水平可扩展性、强一致性及高可用性，其架构采用多租隔离设计以支持大规模数据事务处理，核心组件负责解析并执行复杂SQL查询逻辑。
类型
Incorrect Authorization (CWE-863)
仓库
github.com/cockroachdb/cockroach · Star 32569
处置建议
  • 建议在代码层强化函数参数传递时的类型所有权验证，确保即使由定义者执行也需校验调用者对传入值类型的访问权限，实施最小权限原则以阻断此类越权路径。
CSSA 独家预警 9.8 超危

OpenTSDB图表渲染组件通过参数注入gnuplot脚本执行任意命令导致远程代码执行

攻击者可利用/q端点对key、yrange等参数的校验缺陷，通过双重URL解码绕过正则匹配限制，并在gnuplot脚本中注入包含换行符的系统调用指令，由于参数未进行字符串转义直接拼接至脚本文件且由ProcessBuilder执行，未经身份验证的远程攻击者即可在服务器操作系统层面执行任意命令。

组件
OpenTSDB是一款基于HBase的高性能时序数据监控与可视化平台，其核心架构依赖于RESTful API接口处理海量指标数据的存储与查询，系统内置的/q端点专门负责将用户定义的查询条件转换为gnuplot绘图指令，旨在实现多维度的实时数据趋势分析与图形化展示。
类型
OS Command Injection (CWE-78)
仓库
github.com/OpenTSDB/opentsdb · Star 5064
处置建议
  • 建议严格实施输入白名单校验机制，确保所有用户输入经过单一解码并匹配预期格式，对传递给外部程序的参数进行严格的上下文编码或转义处理，避免直接使用黑名单过滤特殊字符，同时升级至修复该漏洞的最新稳定版本以消除风险。

CVE 情报 2

CVE-2026-65162 CVSS 10.0 超危 2026年10月13日

NVIDIA AIStore Kubernetes PodSpec初始化远程代码执行漏洞导致远程代码执行

在 NVIDIA AIStore for Linux 中，其遗留的 ETL Kubernetes PodSpec 初始化 API 因缺乏对输入参数的严格校验，存在 带着不必要的权限执行（CWE-250） 安全缺陷。远程攻击者可通过该漏洞提供恶意的 Kubernetes host-namespace 和 container-security 设置，从而绕过安全限制。NVIDIA AIStore 在处理 PodSpec 初始化请求时存在逻辑缺陷，攻击者可通过构造恶意 API 请求触发，导致远程代码执行、权限提升、信息泄露、数据篡改和拒绝服务。该漏洞影响所有未修复此缺陷的 NVIDIA AIStore for Linux 用户，包括部署在 Kubernetes 环境中的实例。攻击者仅需通过网络发送特制请求即可完成漏洞利用，无须用户交互且可远程操控。

组件
NVIDIA AIStore 是一款专为 Linux 设计的高性能对象存储系统，常用于 AI 工作负载的数据管理，支持 Kubernetes 集成。
风险
  • 从普通用户到管理员：如果受害者以管理员权限运行浏览器，攻击者可获得相同权限
  • 完全系统控制：攻击者可利用此漏洞在受害者系统上执行任意代码，根据用户权限安装程序、查看/更改/删除数据或创建具有完全权限的新账户
  • 无用户交互攻击：通过驱动式入侵(Drive-by Compromise)技术(T1189)，用户只需访问恶意网页即可触发漏洞，无需额外交互
来源
NVD · CVE-2026-65162
处置建议
  • 监控异常内存访问行为日志
  • 对运行环境启用沙箱隔离机制
  • 阻断不可信来源的 Canvas 脚本加载
CVE-2026-109110 CVSS 10.0 超危 2026年10月13日

Wavlink WL-WN592AX6 wmapd远程命令注入导致远程代码执行

在 Wavlink WL-WN592AX6 250422 固件版本中，其 wmapd 守护进程组件的 system 函数存在安全缺陷。该问题涉及命令中使用的特殊元素转义处理不恰当（CWE-77），执行操纵可导致 OS 命令注入。攻击者可远程发起攻击，且该漏洞的利用代码已公开，可能被使用。供应商已在此披露早期阶段被联系。该漏洞影响所有运行受影响固件版本的 Wavlink WL-WN592AX6 设备。攻击者无需身份验证即可通过网络远程触发漏洞，利用复杂度低，可能导致系统完全被控制。

组件
Wavlink WL-WN592AX6 是一款无线网卡设备，wmapd 是其内部负责特定网络映射或管理功能的守护进程组件。
风险
  • 完全系统控制：攻击者可利用此漏洞在受害者设备上执行任意操作系统命令，根据系统权限安装程序、查看/更改/删除数据或创建具有完全权限的新账户
  • 远程无交互攻击：攻击者仅需通过网络发送特制请求即可触发漏洞，无需用户交互且可远程操控
  • 高机密性与完整性破坏：CVSS 评分显示机密性、完整性和可用性均受到严重影响，攻击者可窃取敏感数据或破坏设备正常运行
来源
NVD · CVE-2026-109110
处置建议
  • 在网络边界部署入侵检测系统（IDS），监控针对 wmapd 服务的异常命令注入尝试
  • 限制对该设备管理接口的网络访问，仅允许受信任的 IP 地址连接

投毒情报 8

投毒情报 npm 2026年10月14日

opencode2@>= 0 被标记为恶意组件

该版本被发现与恶意活动相关域名通信并执行恶意命令，请立即排查依赖并锁定版本。

MD5
3298f83035a19656eb2ce0807b6899f4
投毒情报 npm 2026年10月14日

opencode2-darwin-arm64@>= 0 被标记为恶意组件

该版本被发现与恶意活动相关域名通信并执行恶意命令，请立即排查依赖并锁定版本。

MD5
4add7c598e2d6059743c13046fc6a181
投毒情报 npm 2026年10月14日

opencode2-darwin-x64@>= 0 被标记为恶意组件

该版本被发现与恶意活动相关域名通信并执行恶意命令，请立即排查依赖并锁定版本。

MD5
e4256fb3c95e9d6f4af62ff17906bd6e
投毒情报 npm 2026年10月14日

opencode2-linux-arm64@>= 0 被标记为恶意组件

该版本被发现与恶意活动相关域名通信并执行恶意命令，请立即排查依赖并锁定版本。

MD5
30904307903d52edce71347ef3c3bdc6
投毒情报 npm 2026年10月14日

opencode2-linux-x64-musl@>= 0 被标记为恶意组件

该版本被发现与恶意活动相关域名通信并执行恶意命令，请立即排查依赖并锁定版本。

MD5
5c24a996568785e6ddbf54e5cd391802
投毒情报 npm 2026年10月14日

opencode2-windows-arm64@>= 0 被标记为恶意组件

该版本被发现与恶意活动相关域名通信并执行恶意命令，请立即排查依赖并锁定版本。

MD5
f0a30097bade55582dd28ab4c350c4af
投毒情报 npm 2026年10月14日

opencode2-windows-x64@>= 0 被标记为恶意组件

该版本被发现与恶意活动相关域名通信并执行恶意命令，请立即排查依赖并锁定版本。

MD5
523b88a13f182d30476b4ef15b8f7151
投毒情报 PyPI 2026年10月14日

sysdiagd@1.2.2 被标记为恶意组件

该版本被发现与恶意活动相关域名通信并执行恶意命令，请立即排查依赖并锁定版本。

MD5
75d30c820394d1ec685d941f5781204b
← 返回情报中心RSS用 CleanSource SCA 自动监测这些风险 →