← 返回情报中心

2026-11-03 每日安全情报

RSS

CSSA 2 CVE 2 投毒 4

10.0 超危 Odin压缩组件因缺乏边界检查允许越界写入导致内存破坏

CSSA 独家预警 2

CSSA 独家预警 10.0 超危

Odin压缩组件因缺乏边界检查允许越界写入导致内存破坏

攻击者可通过构造恶意的压缩数据流（如截断的DEFLATE流或特定模式的零字节流），触发zlib.inflate或gzip.load函数在内部缓冲区扩容至COMPRESS_OUTPUT_ALLOCATE_MAX上限后继续执行写入操作，由于grow_buffer函数在达到上限时未返回错误且write_byte等底层写入过程缺失后续长度校验并禁用了边界检查，导致数据被写入堆内存块之外，造成堆缓冲区溢出，进而引发拒绝服务、任意代码执行或敏感信息泄露。

组件
Odin是一种系统级编程语言及其标准库集合，其core/compress模块旨在为应用程序提供高效的流式与缓冲式数据压缩解压功能，该组件通过动态内存管理机制处理可变长度的输入输出数据流，核心设计目标是实现高性能的Zlib及Gzip协议兼容处理，并在资源受限环境中保持低开销的数据转换能力。
类型
Out-of-bounds Write (CWE-787)
仓库
github.com/odin-lang/Odin Star 12274
处置建议
  • 修复此类漏洞需在缓冲区扩容逻辑中增加严格的上限校验，确保当当前长度达到预设最大值时立即返回错误而非静默失败；同时在所有底层写入操作前重新验证剩余空间是否充足，若空间不足则终止处理并上报错误；此外应移除关键的#no_bounds_check编译指令以启用默认运行时安全检查。
CSSA 独家预警 10.0 超危

php-src pdo_pgsql驱动因预准备语句列数变化引发越界读取导致服务崩溃

当启用PDO::ATTR_EMULATE_PREPARES模式时，若预准备语句在第二次执行返回的列数多于首次执行，内部数组S->cols和stmt->columns仍保持初始大小分配，导致索引越界读取。攻击者可通过并发执行ALTER TABLE添加列或切换视图改变结果集结构，触发zend_symtable_update使用悬空指针，造成堆缓冲区溢出，进而引发进程崩溃或潜在的信息泄露，严重影响系统可用性。

组件
php-src是PHP语言的源代码仓库，其pdo_pgsql扩展作为核心数据访问组件，负责实现PHP应用程序与PostgreSQL数据库之间的标准化连接与交互。该模块采用面向对象架构设计，旨在提供高效的预处理语句执行、参数绑定及结果集解析功能，确保在复杂业务逻辑中能够安全、稳定地处理大规模并发数据库查询请求，是企业级Web应用后端数据持久层的关键依赖。
类型
Out-of-bounds Read (CWE-125)
仓库
github.com/php/php-src Star 41759
处置建议
  • 建议禁用模拟预处理模式以利用原生驱动保护，或在代码层面严格校验动态变化的结果集元数据，确保每次执行前重新分配并验证列描述数组的大小与内存边界。

CVE 情报 2

CVE-2026-105604 CVSS 10.0 超危 2026年11月03日

DJ-Classifieds未认证SQL注入导致远程代码执行

在 DJ-Classifieds 3.11.3 版本前，其前端搜索功能因输入验证缺失，存在未认证 SQL 注入（CWE-89）安全缺陷。攻击者可通过构造恶意搜索请求，直接操纵后端数据库查询语句，导致敏感数据泄露或数据库被完全控制。该 Joomla 扩展在搜索接口处存在严重逻辑漏洞，攻击者无需任何身份验证即可远程触发，导致数据完整性破坏及潜在的系统接管。该漏洞影响所有未更新至 3.11.3 的 DJ-Classifieds 用户，包括所有部署该扩展的 Joomla 网站。攻击者仅需发送特制的 HTTP 请求即可完成漏洞利用，无须用户交互且可远程操控。

组件
DJ-Classifieds 是一款流行的 Joomla 分类广告扩展，允许网站管理员创建和管理在线分类列表，支持前端搜索、发布和管理功能。
风险
  • 从普通用户到管理员：如果数据库权限配置不当，攻击者可能通过 SQL 注入修改管理员密码或提升权限
  • 完全系统控制：攻击者可利用此漏洞读取、修改或删除数据库中的敏感信息（如用户凭证、交易记录），甚至通过特定数据库函数执行操作系统命令
  • 无用户交互攻击：通过自动化脚本扫描和攻击，攻击者无需诱导用户点击任何链接，直接针对网站搜索接口发起攻击即可触发漏洞
来源
NVD CVE-2026-105604
处置建议
  • 立即将 DJ-Classifieds 扩展升级至 3.11.3 或更高版本
  • 在 Web 应用防火墙（WAF）中配置规则，拦截包含 SQL 注入特征的搜索请求
  • 限制前端搜索接口的访问频率，并监控异常的数据库查询日志
CVE-2026-120442 CVSS 9.8 超危 2026年11月02日

ape-volo-admin JWT硬编码密钥认证绕过漏洞导致完全API控制权

在 ape-volo-admin 3.6.1 版本前，其身份验证模块因配置不当，存在使用默认加密密钥（CWE-1394）安全缺陷。appsettings.json 中硬编码的 JWT 签名密钥允许未经身份验证的攻击者离线伪造管理员令牌。攻击者可通过将 jti 声明设置为种子管理员 ID 来签名令牌，从而获得对用户、角色、权限和数据的完整 API 控制权。该漏洞影响所有未更新至 3.6.1 的 ape-volo-admin 用户。攻击者无需任何用户交互即可远程利用此漏洞，直接获取系统最高权限。

组件
ape-volo-admin 是一个基于 JWT 进行身份验证的管理后台系统，用于管理用户、角色、权限及数据。
风险
  • 从普通用户到管理员：攻击者无需初始凭据，直接通过伪造令牌获取管理员权限
  • 完全系统控制：攻击者可利用此漏洞完全控制 API，包括查看、修改或删除所有用户数据、角色配置及系统权限
  • 无用户交互攻击：攻击者可通过网络直接发送恶意请求触发漏洞，无需目标用户进行任何点击或交互
来源
NVD CVE-2026-120442
处置建议
  • 立即升级 ape-volo-admin 至 3.6.1 或更高版本
  • 移除 appsettings.json 中的硬编码 JWT 密钥，改用环境变量或密钥管理服务
  • 监控 API 访问日志，检测异常的令牌签名或高频管理员操作行为

投毒情报 4

投毒情报 npm 2026年11月03日

levvleys@2.0.4 被标记为恶意组件

该版本被发现与恶意活动相关域名通信并执行恶意命令，请立即排查依赖并锁定版本。

MD5
15c9723944c2518b26c6e85e328e323c
投毒情报 npm 2026年11月03日

@levvicode/libsignal-node@>= 0 被标记为恶意组件

该版本被发现与恶意活动相关域名通信并执行恶意命令，请立即排查依赖并锁定版本。

MD5
4181abb2003dd3f086d1e2288a2e3975
投毒情报 npm 2026年11月03日

unjailed@>= 0 被标记为恶意组件

该版本被发现与恶意活动相关域名通信并执行恶意命令，请立即排查依赖并锁定版本。

MD5
fb14c95eabc5335e6979b5a337ca6cb3
投毒情报 npm

pandafortunerush@>= 0 被标记为恶意组件

该版本被发现与恶意活动相关域名通信并执行恶意命令，请立即排查依赖并锁定版本。

MD5
662f4a8
← 返回情报中心RSS用 CleanSource SCA 自动监测这些风险 →