SECURITY INTEL · DAILY

2026-10-20 每日安全情报

CSSA 2 · CVE 1 · 投毒 0

CSSA 独家预警 2

CSSA 独家预警 10.0 超危

gofr因BasicAuth空凭证配置缺陷导致远程认证绕过

该漏洞源于app.EnableBasicAuth函数在处理空字符串参数时缺乏有效性校验，当用户名或密码未正确配置时，系统仍会注册空凭证记录并返回nil状态，致使攻击者可通过发送包含Base64编码冒号的Basic Auth头成功通过身份验证，从而绕过访问控制直接获取受保护资源，造成严重的机密性与完整性泄露风险。

组件

gofr是一个基于Go语言构建的高性能微服务框架，旨在简化RESTful API的开发流程并提供标准化的应用架构。其核心组件包括HTTP服务器、中间件链及配置管理系统，支持依赖注入与模块化设计，主要应用于快速构建可伸缩的后端服务，通过内置的鉴权中间件机制保障接口访问的安全性。

类型

Improper Authentication (CWE-287)

仓库

github.com/gofr-dev/gofr · Star 20844

处置建议

建议开发者在实现基本身份验证逻辑时，严格校验输入参数的非空性，对空用户名或密码立即终止授权流程并抛出明确错误，同时完善单元测试覆盖边界条件，确保异常配置能触发预期的安全拦截机制而非静默降级。

CSSA 独家预警 10.0 超危

eladmin通过恶意SQL文件上传实现注入导致数据库数据泄露与篡改

攻击者利用POST /api/database/upload端点上传包含恶意构造SQL语句的.sql文件，SqlUtils.batchExecute()方法未对输入内容进行参数化处理或安全过滤，直接调用Statement.addBatch()执行原始SQL代码。由于缺乏有效的输入校验机制，攻击者可借此执行任意SQL指令，包括从sys_user表窃取用户凭据如用户名和密码哈希，进而造成敏感信息泄露及数据库完整性破坏。

组件

eladmin是一款基于Spring Boot的开源后台管理系统，其架构集成了数据库维护模块以支持多租户或远程数据库连接管理。该组件旨在提供便捷的SQL脚本批量执行功能，允许用户通过Web界面上传.sql文件并自动解析执行，从而简化数据库初始化、结构变更及数据迁移等运维操作，优化开发测试环境中的数据库交互效率。

类型

SQL Injection (CWE-89)

仓库

github.com/elunez/eladmin · Star 21902

处置建议

建议采用预编译语句替代直接拼接方式执行SQL，严格限制可执行SQL语句类型，实施白名单机制过滤危险关键字，并对上传文件进行内容沙箱检测以确保仅包含允许的DDL/DML操作。

CVE 情报 1

CVE-2026-112292 CVSS 10.0 超危 2026年10月20日

HTTP服务处理特制请求远程代码执行漏洞导致服务器被完全控制

该漏洞允许攻击者通过发送特制的 HTTP 请求，在目标服务器上执行任意代码。由于缺乏对输入请求的严格校验与过滤，恶意构造的 HTTP 数据包可直接触发服务器端的代码执行逻辑，导致远程代码执行（RCE）。该漏洞影响所有未采取缓解措施的目标服务器，攻击者无需身份认证即可远程发起攻击，且无需用户交互。一旦利用成功，攻击者将获得服务器的完全控制权，可窃取敏感数据、植入后门或横向移动至内网其他系统。

组件

受影响的 HTTP 服务器组件负责处理客户端的网络请求，是 Web 应用与外部世界交互的核心入口。

风险

完全系统控制：攻击者可利用此漏洞在目标服务器上执行任意代码，根据服务运行权限安装恶意程序、查看/更改/删除数据或创建具有完全权限的新账户
无用户交互攻击：攻击者仅需发送特制的 HTTP 请求即可触发漏洞，无需受害者进行任何点击或交互操作
远程利用：攻击者可通过互联网远程发起攻击，无需物理接触或本地网络访问权限

来源

NVD · CVE-2026-112292

处置建议

立即部署 Web 应用防火墙（WAF）以拦截异常 HTTP 请求
对服务器输入数据进行严格的白名单校验与过滤
限制服务器对外暴露的攻击面，仅允许必要的端口和服务访问

← 返回情报中心 RSS用 CleanSource SCA 自动监测这些风险 →