← 返回情报中心
SECURITY INTEL · DAILY
RSS

2026-10-29 每日安全情报

CSSA 2 · CVE 2 · 投毒 2

10.0 超危 · Websoft9应用管理平台因代理API缺失认证机制导致反向代理配置被未授权篡改

CSSA 独家预警 2

CSSA 独家预警 9.9 超危

Apache Iggy Java与C# SDK因输出编码缺陷导致路径遍历引发越权删除

攻击者利用Java或C# HTTP客户端在构建个人访问令牌删除请求时未对路径参数进行正确转义的特性，通过构造包含路径遍历序列（如../）的恶意输入，诱导URL解析器规范化路径从而指向非预期的敏感端点。该漏洞源于缺乏对特殊字符的严格过滤机制，允许请求被重定向至用户管理等高危接口，导致任意账户数据的非法删除或系统状态的非预期变更，严重破坏系统的完整性与可用性。

组件
Apache Iggy是一个基于事件驱动的高性能消息流存储平台，其架构旨在提供低延迟的数据持久化能力。该系统通过SDK为客户端提供标准化的数据交互接口，支持多语言环境下的连接管理与资源调度，核心目的在于构建可扩展的分布式数据处理基础设施，确保数据在微服务间的高效流转与可靠存储。
类型
Improper Encoding or Escaping of Output (CWE-116)
仓库
github.com/apache/iggy · Star 5222
处置建议
  • 建议开发人员在拼接URL路径时对动态输入实施严格的百分比编码处理，禁止直接拼接未经清洗的用户可控字符串。同时应在服务端校验路径合法性，拒绝包含目录穿越特征段的请求，并统一各语言SDK的底层的网络请求封装逻辑以消除差异。
CSSA 独家预警 10.0 超危

Websoft9应用管理平台因代理API缺失认证机制导致反向代理配置被未授权篡改

攻击者可利用/apphub/src/api/v1/routers/proxy.py中/ api/proxys/*路径前缀未被全局密钥中间件拦截且未实施会话Cookie校验的逻辑缺陷，无需任何凭证直接发送HTTP请求调用GET、POST、PUT或DELETE方法，从而枚举SSL证书库存、任意创建或修改应用的反向代理规则、甚至删除现有代理配置，该行为可引发域名劫持或服务中断，严重破坏受管应用的访问控制完整性与可用性。

组件
Websoft9是一款基于容器化技术的多应用快速部署与管理平台，其核心组件AppHub负责统一调度后端微服务、管理应用生命周期及配置网络路由策略，系统架构采用前后端分离设计，旨在通过标准化接口实现基础设施即代码的自动化运维目标。
类型
Missing Authentication for Critical Function (CWE-306)
仓库
github.com/Websoft9/websoft9 · Star 2132
处置建议
  • 建议在所有免除全局身份验证的路由处理函数中强制引入会话令牌校验机制，确保业务逻辑层具备完整的权限上下文检查能力，并定期审计API接口的鉴权覆盖范围以消除潜在的安全盲区。

CVE 情报 2

CVE-2026-14571 CVSS 10.0 超危 2026年10月28日

Futurum Software管理软件盲SQL注入漏洞导致敏感数据泄露

在Futurum Software的管理软件中，由于对私有区域数据库查询中用户提供的输入缺乏充分的验证和清理，以及WAF配置不当，存在盲SQL注入（CWE-89）安全缺陷。攻击者仅通过发送经过篡改的HTTP请求即可绕过防护机制。成功利用该漏洞可使未经身份验证的攻击者对数据库执行任意查询，提取其完整结构，并获取包括个人身份信息（PII）在内的敏感客户信息。该漏洞影响所有未修复此缺陷的Futurum Software管理软件部署环境。攻击者无需身份验证即可远程发起攻击，直接威胁数据机密性。

组件
Futurum Software是一款企业管理软件，用于处理内部业务逻辑及客户数据管理，涉及敏感信息的存储与交互。
风险
  • 敏感数据泄露：攻击者可提取数据库完整结构及包含个人身份信息（PII）在内的敏感客户数据
  • 未授权访问：未经身份验证的攻击者即可执行任意数据库查询，完全绕过身份认证机制
  • 数据完整性破坏：攻击者可能通过SQL注入修改或删除关键业务数据，导致业务逻辑混乱
来源
NVD · CVE-2026-14571
处置建议
  • 立即更新WAF配置，确保对私有区域数据库查询进行严格的输入验证和清理
  • 对数据库查询参数实施参数化查询或预编译语句，从根本上防止SQL注入
  • 监控异常HTTP请求模式，特别是针对私有区域接口的非常规查询行为
CVE-2026-112197 CVSS 10.0 超危 2026年10月28日

NoviGest Java RMI未认证远程代码执行漏洞导致服务器完全控制

在NoviGest桌面应用程序中，其Java RMI服务在关键功能上缺乏身份验证机制，存在关键功能认证缺失（CWE-306）安全缺陷。拥有对该服务网络访问权限的攻击者可以在无需身份验证的情况下调用远程方法，获取敏感凭据，并在PostgreSQL数据库上执行任意SQL查询。由于数据库账户拥有高权限，攻击者可以将这些能力串联起来，从而在服务器上执行操作系统命令，破坏系统的机密性、完整性和可用性。该漏洞影响所有未修复的NoviGest桌面应用部署环境。攻击者仅需具备网络访问权限即可发起攻击，无需用户交互且可远程操控。

组件
NoviGest 是一款桌面应用程序，其内部包含基于Java RMI的服务组件，用于处理关键业务逻辑并与PostgreSQL数据库进行交互。
风险
  • 从普通用户到管理员：如果受害者以管理员权限运行应用程序，攻击者可获得相同权限
  • 完全系统控制：攻击者可利用此漏洞在受害者系统上执行任意代码，根据用户权限安装程序、查看/更改/删除数据或创建具有完全权限的新账户
  • 无用户交互攻击：通过直接网络访问服务，攻击者无需诱导用户点击或交互即可触发漏洞，实现远程代码执行
来源
NVD · CVE-2026-112197
处置建议
  • 限制Java RMI服务的网络访问权限，仅允许受信任的IP地址连接
  • 为数据库账户实施最小权限原则，避免使用高权限账户连接应用

投毒情报 2

投毒情报 npm 2026年10月29日

mock-transactions-sdk@>= 0 被标记为恶意组件

该版本被发现与恶意活动相关域名通信并执行恶意命令，请立即排查依赖并锁定版本。

MD5
a44897d057c33ac9e65085cebf75a923
投毒情报 npm 2026年10月29日

transaction-info-generate-sdk@>= 0 被标记为恶意组件

该版本被发现与恶意活动相关域名通信并执行恶意命令，请立即排查依赖并锁定版本。

MD5
9101a77d1804fa33d36a3d64bc8aed20
← 返回情报中心RSS用 CleanSource SCA 自动监测这些风险 →