2026-11-10 每日安全情报

CSSA 2 CVE 3 投毒 8

10.0 超危 Tinyproxy因Transfer-Encoding大小写处理缺陷引发请求走私导致安全控制绕过

CSSA 独家预警 2

CSSA 独家预警 10.0 超危

Tinyproxy因Transfer-Encoding大小写处理缺陷引发请求走私导致安全控制绕过

攻击者可通过构造包含非小写变体（如Chunked）的Transfer-Encoding头触发漏洞，由于组件在is_chunked_transfer函数中错误地使用大小写敏感的比较逻辑识别分块传输编码，导致代理服务器误用Content-Length进行帧界定并将原始头部转发至后端，而后端服务器遵循RFC规范采用分块解析，从而产生请求边界不同步实现HTTP请求走私，造成WAF绕过、缓存投毒及跨用户请求劫持等严重后果。

组件

Tinyproxy是一款轻量级的高性能HTTP与HTTPS代理服务器，其架构设计旨在为小型网络提供高效的前置反向代理或正向代理功能，核心机制包括对上游服务器的请求转发、响应缓存以及基本的访问控制策略实施，以优化资源调度并增强网络层的隔离能力。

类型

HTTP Request/Response Smuggling (CWE-444)

仓库

github.com/tinyproxy/tinyproxy Star 6054

处置建议

建议将相关代码中的字符串比较函数由strcmp替换为strcasecmp以实现不区分大小写的匹配，同时依据RFC 7230规范添加CL与TE冲突解决机制，并在存在Transfer-Encoding时移除Content-Length头部，此外可将该头部加入跳过列表以增强防御深度。

CSSA 独家预警 9.9 超危

open-mercato单点登录配置管理缺失权限校验导致攻击者越权获取超级管理员权限

攻击者利用具备sso.config.manage权限的普通管理员身份，通过构造恶意SSO配置请求，将任意外部IdP组映射至平台超级管理员角色或关联现有高权限账户，该漏洞源于服务端在写入应用角色映射及执行邮箱自动链接时未实施目标角色特权校验，致使攻击者可绕过密码与多因素认证机制直接接管超级管理员会话，受控系统面临数据完整性破坏及服务中断威胁。

组件

open-mercato是一款面向企业级用户管理的资源计划系统，其核心架构依赖于RESTful API实现多功能协作与多角色权限配置，旨在优化组织内部资源调度、流程自动化及身份认证集成。

类型

Improper Privilege Management (CWE-269)

仓库

github.com/open-mercato/open-mercato Star 1916

处置建议

建议开发人员在创建或更新SSO配置时增加服务端权限校验逻辑，确保操作者无权授予超越自身权限的角色映射，并在自动链接账户前验证目标用户是否为超级管理员，从而阻断非法提权路径。

CVE 情报 3

CVE-2026-76964 CVSS 10.0 超危 2026年11月10日

SAP NetWeaver AS ABAP内存损坏漏洞导致远程代码执行

在SAP NetWeaver Application Server ABAP中，其内部组件因对特定网络输入验证不足，存在指定输入类型的验证不当（CWE-1287）安全缺陷。未经身份验证的攻击者可发送精心构造的网络流量，触发受影响功能中的内存损坏条件，威胁系统稳定性与安全性。SAP NetWeaver AS ABAP在处理网络请求时存在内存损坏漏洞，攻击者可通过构造恶意网络包触发，导致远程代码执行或完全控制系统。该漏洞影响所有未修复的SAP NetWeaver Application Server ABAP部署场景。攻击者无需身份验证即可远程发起攻击，无须用户交互且可完全控制目标系统。

组件

SAP NetWeaver Application Server ABAP 是SAP公司提供的企业级应用服务器平台，用于运行基于ABAP语言开发的企业应用程序，支持复杂的业务逻辑处理与网络交互。

风险

完全系统控制：攻击者可利用此漏洞在受害者系统上执行任意代码，根据系统权限安装程序、查看/更改/删除数据或创建具有完全权限的新账户
无身份验证攻击：攻击者无需任何凭证即可通过网络发送恶意流量触发漏洞，实现远程代码执行
高影响破坏：成功利用将对系统的机密性、完整性和可用性造成高影响，可能导致数据泄露、系统被篡改或服务中断

来源

NVD CVE-2026-76964

处置建议

监控异常网络流量及内存访问行为日志
对服务器环境启用严格的网络访问控制列表（ACL）
尽快应用SAP官方发布的安全补丁或采取临时缓解措施阻断可疑网络输入

CVE-2026-89103 CVSS 10.0 超危 2026年11月10日

SAP Gateway默认ACL高权限配置漏洞导致未授权远程代码执行

在 SAP Gateway 中，由于激活了具有高权限的默认访问控制列表（ACL），导致外部攻击者被错误地归类为内部应用服务器。这一配置缺陷（CWE-863 不正确的授权）使得任何能够通过网络访问 SAP Gateway 的未认证攻击者，无需身份验证即可利用此漏洞在应用环境中执行未授权操作。该漏洞对受影响系统的机密性、完整性和可用性造成严重影响，攻击者可实现远程代码执行或完全控制应用环境。该漏洞影响所有存在此默认高权限 ACL 配置的 SAP Gateway 实例。攻击者仅需网络访问权限即可完成漏洞利用，无须用户交互且可远程操控。

组件

SAP Gateway 是 SAP 解决方案的一部分，用于提供 OData 服务并作为客户端与后端 SAP 系统之间的通信网关，支持企业级应用集成与数据交互。

风险

未授权访问：攻击者无需认证即可访问受保护的资源，绕过安全边界
完全系统控制：攻击者可利用此漏洞在应用环境中执行任意未授权操作，可能导致数据泄露、篡改或服务中断
无用户交互攻击：通过直接网络访问即可触发漏洞，无需诱导用户点击或交互，攻击隐蔽性强

来源

NVD CVE-2026-89103

处置建议

立即审查并修改 SAP Gateway 的默认访问控制列表（ACL）配置，移除高权限默认设置
实施严格的网络访问控制策略，限制对 SAP Gateway 的外部访问
启用多因素认证和强身份验证机制，确保只有授权用户才能访问关键资源

CVE-2026-107246 CVSS 10.0 超危 2026年11月10日

Plesk Site Import路径遍历漏洞导致以root权限执行任意代码

在 Plesk 扩展“Site Import” 1.13.2 版本之前，由于未正确验证域名和会话标识符，存在路径遍历（CWE-22）安全缺陷。这使得非所有者订阅用户能够将特权后端会话重定向至其控制的目录，从而以 root 权限执行任意代码。该漏洞影响所有未更新至 1.13.2 版本的 Plesk 用户。攻击者无需复杂交互，仅需利用非所有者订阅账户即可触发漏洞，实现从低权限用户到系统最高权限（root）的提权，完全控制系统。

组件

Plesk 是一款流行的网站和服务器管理面板，广泛用于简化 Linux 和 Windows 服务器上的网站、域名、邮件和数据库管理。

风险

从普通用户到管理员：非所有者订阅用户可利用此漏洞绕过权限限制，获取服务器 root 权限
完全系统控制：攻击者可在受害者系统上以 root 权限执行任意代码，完全控制服务器，包括安装恶意软件、窃取数据或破坏系统
横向移动风险：一旦获得 root 权限，攻击者可进一步渗透内网其他系统

来源

NVD CVE-2026-107246

处置建议

立即将 Plesk “Site Import” 扩展升级至 1.13.2 或更高版本
审查服务器日志，查找异常的路径访问或会话重定向行为
限制非管理员用户对后端会话的访问权限，实施最小权限原则

54f3796a960695d65077513727996e87

← 返回情报中心 RSS用 CleanSource SCA 自动监测这些风险 →

2026-11-10 每日安全情报

CSSA 独家预警 2

Tinyproxy因Transfer-Encoding大小写处理缺陷引发请求走私导致安全控制绕过

open-mercato单点登录配置管理缺失权限校验导致攻击者越权获取超级管理员权限

CVE 情报 3

SAP NetWeaver AS ABAP内存损坏漏洞导致远程代码执行

SAP Gateway默认ACL高权限配置漏洞导致未授权远程代码执行

Plesk Site Import路径遍历漏洞导致以root权限执行任意代码

投毒情报 8

focashi@1.1.0 被标记为恶意组件

yonzofficial@2.1.1 被标记为恶意组件

react-bootstrap-table2-toolkit-bg@>= 0 被标记为恶意组件

template-cards@>= 0 被标记为恶意组件

template-projection-map@>= 0 被标记为恶意组件

dowload_ebok_la_historia_universal_en_100_preguntas_by_luis_e_inigo_fernandez_0w097@>= 0 被标记为恶意组件

moltbook-api-helper@>= 0 被标记为恶意组件

moltbook-health@>= 0 被标记为恶意组件

`focashi@1.1.0` 被标记为恶意组件

`yonzofficial@2.1.1` 被标记为恶意组件

`react-bootstrap-table2-toolkit-bg@>= 0` 被标记为恶意组件

`template-cards@>= 0` 被标记为恶意组件

`template-projection-map@>= 0` 被标记为恶意组件

`dowload_ebok_la_historia_universal_en_100_preguntas_by_luis_e_inigo_fernandez_0w097@>= 0` 被标记为恶意组件

`moltbook-api-helper@>= 0` 被标记为恶意组件

`moltbook-health@>= 0` 被标记为恶意组件