安全情报中心 · Sectrend

每日安全情报 2026-08-26｜CSSA 独家 2 · CVE 2 · 投毒 10 · 安势信息

Wed, 26 Aug 2026 09:00:00 +0800

[CSSA 独家预警] OpenSSL QUIC监听接口对象生命周期管理缺陷引发拒绝服务（10.0 超危）

攻击者可利用SSL_listen_ex函数在剥离入站通道时的逻辑缺陷，导致新连接对象未能正确绑定至监听器层级且保留已释放指针，进而触发Use After Free漏洞。由于返回的连接无法完成握手但保留了无效的内部状态，后续执行BIO操作或析构清理时可能访问悬空指针或未初始化的线程辅助工作者，造成内存越界访问或进程异常终止，从而实现对受影响服务的拒绝服务攻击。

处置建议: 建议在处理QUIC连接对象时实施严格的生命周期验证机制，确保对象在剥离前已完成正确的所有权转移与状态初始化。开发团队应修复测试用例以准确捕获握手失败场景，并在生产环境中增加对无效对象状态的防御性检查，防止非法内存访问。

[CSSA 独家预警] sub2api因图片下载接口缺乏URL校验导致SSRF漏洞引发内网探测及云凭证泄露（10.0 超危）

攻击者可利用/v1/images/generations端点，在请求体中注入恶意的image_url参数，由于后端downloadOpenAIImageBytes函数未对目标地址进行任何合法性校验，服务器将直接向该URL发起HTTP GET请求，此缺陷使攻击者能够以服务器身份访问内部网络资源或云提供商元数据服务，从而导致敏感凭证窃取、内网端口扫描及潜在的服务中断风险。

处置建议: 建议实施严格的URL白名单机制，限制仅允许访问可信的CDN域名，同时增加IP地址范围过滤，禁止解析指向回环地址、私有网段及链路本地地址的请求，并引入DNS重绑定防护策略以确保请求安全性。

[CVE-2026-76193] Adobe Campaign Classic 服务端请求伪造漏洞导致任意代码执行（10.0 超危）

在 Adobe Campaign Classic (ACC) 中，存在一个服务端请求伪造 (SSRF) 漏洞（CWE-918），该缺陷可能导致在当前用户上下文中执行任意代码。攻击者可利用此漏洞执行任意代码，且利用此问题无需用户交互。该漏洞影响范围已更改，攻击向量通过网络进行，攻击复杂度低，无需特权且无需用户交互，对机密性、完整性和可用性均造成高影响。

处置建议: 部署网络层防护策略，限制服务器端对外部资源的请求权限; 监控异常的网络请求行为，特别是来自应用服务器内部发起的非预期外部连接

CVE-2026-76193

[CVE-2026-49845] Apache Hive Metastore SQL注入导致非预期分区元数据篡改（9.8 超危）

在Apache Hive 4.2.1 版本前，其 Hive Metastore 模块因直接 SQL 分区名称解析时未使用绑定参数，存在 SQL 注入（CWE-94）安全缺陷。当启用直接 SQL（默认设置）时，认证用户可通过在 Metastore RPC 请求中构造包含单引号的恶意分区名称，改变生成的 WHERE 子句，从而读取、修改或影响非预期的分区元数据（包括统计信息更新、截断目标以及文件元数据缓存操作）。该漏洞影响所有未更新至 4.2.1 的 Apache Hive 用户，且默认配置下即处于风险状态。攻击者需拥有 Hive Metastore API 访问权限，但无需额外用户交互即可远程触发漏洞，导致数据完整性与机密性受损。

处置建议: 立即升级 Apache Hive 至 4.2.1 或更高版本以修复此漏洞; 若暂时无法升级，可考虑在配置中禁用直接 SQL 功能（设置 metastore.try.direct.sql 为 false），但需注意可能影响性能; 监控 Hive Metastore 日志，检测异常的分区名称请求或 SQL 执行错误

CVE-2026-49845

[投毒情报] video-crate-check@>= 0 (npm)

该版本被发现与恶意活动相关域名通信并执行恶意命令，请立即排查依赖并锁定版本。

MD5: b6e4b0ebdbced85be25afce02f96127b

[投毒情报] dim-svelte-ui@>= 0 (npm)

该版本被发现与恶意活动相关域名通信并执行恶意命令，请立即排查依赖并锁定版本。

MD5: 79a6e5f110d2cb98c9f4eb3ea907ead5

[投毒情报] foldmap@>= 0 (npm)

该版本被发现与恶意活动相关域名通信并执行恶意命令，请立即排查依赖并锁定版本。

MD5: 8d169bb521c0d8bfac7a3392e91586b7

[投毒情报] snapbuf@>= 0 (npm)

该版本被发现与恶意活动相关域名通信并执行恶意命令，请立即排查依赖并锁定版本。

MD5: baf1194cbb49351eecfcd42cefa140c1

[投毒情报] svelte-cls-ui@>= 0 (npm)

该版本被发现与恶意活动相关域名通信并执行恶意命令，请立即排查依赖并锁定版本。

MD5: 6a2584b73187f37ff11840990f7fd015

[投毒情报] tailwind-scrollbar-hider@>= 0 (npm)

该版本被发现与恶意活动相关域名通信并执行恶意命令，请立即排查依赖并锁定版本。

MD5: 355da2493d77fd98b8c1ebfb27ccd215

[投毒情报] wm-eslint-fe@>= 0 (npm)

该版本被发现与恶意活动相关域名通信并执行恶意命令，请立即排查依赖并锁定版本。

MD5: 40c0f64bf298e095e08c26d8d07284c2

[投毒情报] array-shuffler-utils-99@>= 0 (npm)

该版本被发现与恶意活动相关域名通信并执行恶意命令，请立即排查依赖并锁定版本。

MD5: d1ad4df3c8c6f8ced9916ba2adb646cb

[投毒情报] fivem-tool-helper@>= 0 (npm)

该版本被发现与恶意活动相关域名通信并执行恶意命令，请立即排查依赖并锁定版本。

MD5: 166b6e97d6b9fa31581166abf409010e

[投毒情报] fivem-tool-helper-v2@>= 0 (npm)

该版本被发现与恶意活动相关域名通信并执行恶意命令，请立即排查依赖并锁定版本。

MD5: 1ea028ac42fbe1ceb74eb935d943ffb3

每日安全情报 2026-08-25｜CSSA 独家 2 · CVE 3 · 投毒 10 · 安势信息

Tue, 25 Aug 2026 09:00:00 +0800

[CSSA 独家预警] hermes-agent网关授权逻辑缺陷与代码注入漏洞导致权限绕过及远程代码执行（10.0 超危）

该漏洞包含两个关键技术缺陷：一是网关在多复用配置下，_auth_env函数未能正确隔离环境变量的作用域，当特定配置文件缺失时错误回退至全局os.environ，导致攻击者可利用其他配置文件的宽松策略进行越权访问；二是tools/bot_relay.py在处理队列任务时，未对connection_id字段实施严格的字符集校验或转义，直接将其拼接入执行的Python代码字符串中，攻击者可通过构造恶意ID注入任意Python语句，在具有相应权限的进程中实现远程代码执行。

处置建议: 建议开发人员修复环境变量读取逻辑以确保配置作用域隔离，并对所有动态输入数据进行严格的类型检查与安全编码处理，禁止将不可信数据直接拼接进可执行代码上下文中。

[CSSA 独家预警] python-sdk客户端因缺乏重定向校验导致SSRF攻击致使内部敏感数据泄露（10.0 超危）

漏洞源于HTTP客户端工厂配置中无条件启用跟随重定向功能且缺失目标主机地址校验机制，攻击者可通过控制恶意MCP服务器返回的3xx状态码将客户端请求重定向至127.0.0.1等内网或本地回环地址，若目标服务响应JSON-RPC格式数据，客户端将错误地将其视为合法服务端响应并注入LLM会话，从而导致内部探针探测及敏感身份信息泄露。

处置建议: 建议开发人员在构建HTTP客户端时禁用默认的重定向跟随行为，或在执行重定向前增加对目标URL主机的严格白名单校验与内网地址过滤逻辑，确保仅允许连接预定义的安全域名，同时参考现有服务端安全中间件实现对称式的客户端网络边界防护。

[CVE-2026-77635] CakePHP FunctionsBuilder jsonPath SQL注入导致数据库被控（9.8 超危）

在CakePHP 5.1.10、5.2.15 和 5.3.7 版本之前，其 FunctionsBuilder::jsonValue() 方法在使用 PostgresDriver 时，因对 jsonPath 参数缺乏有效过滤，存在 SQL 注入（CWE-89）安全缺陷。当用户可控数据传入该参数时，攻击者可构造恶意 SQL 语句，导致数据库内容泄露、篡改或执行任意系统命令。该漏洞影响所有未更新至上述修复版本的 CakePHP 用户，特别是使用 PostgreSQL 数据库的后端应用。攻击者可通过构造特定请求触发漏洞，无需复杂前置条件即可远程操控数据库。

处置建议: 立即升级 CakePHP 至 5.1.10、5.2.15 或 5.3.7 及以上版本; 对传入 jsonPath 参数的数据进行严格的白名单校验或转义处理; 限制数据库账户权限，避免使用高权限账户连接应用数据库

CVE-2026-77635

[CVE-2026-32558] Affiliate Pro未认证权限提升漏洞导致远程代码执行（9.8 超危）

在 Affiliate Pro - Affiliate Program for WooCommerce & WordPress 8.9.1 版本及之前版本中，其权限验证模块因逻辑缺陷，存在特权授予不正确（CWE-266）安全缺陷。未认证的攻击者可通过构造特定请求绕过身份验证，直接提升自身权限，威胁网站数据完整性与系统控制权。该插件在特定接口调用场景下存在权限绕过漏洞，攻击者可通过网络远程触发，导致未授权访问或完全接管站点。该漏洞影响所有未更新至 8.9.1 之后版本的 Affiliate Pro 用户，包括基于 WooCommerce 和 WordPress 的电商及内容管理平台。攻击者仅需向目标站点发送恶意请求即可完成漏洞利用，无须用户交互且可远程操控。

处置建议: 立即升级 Affiliate Pro 插件至 8.9.1 之后的安全版本; 监控网站后台登录日志及异常权限变更行为; 配置 Web 应用防火墙（WAF）以阻断针对该插件特定接口的未授权访问尝试

CVE-2026-32558

[CVE-2026-77994] Joomla Page Builder CK二次SQL注入漏洞导致远程代码执行（9.8 超危）

在 Joomla 扩展 Page Builder CK 3.6.5 版本前，其前端页面模型的 loadStyles 方法因输入处理不当，存在二次 SQL 注入（CWE-89）安全缺陷。攻击者可通过构造特定数据触发 SQL 注入，导致数据库内容泄露、篡改或远程代码执行。该漏洞影响所有未更新至 3.6.5 版本的 Page Builder CK 用户。攻击者可通过前端页面交互触发漏洞，利用二次注入特性在后续请求中执行恶意 SQL 命令。

处置建议: 立即升级 Page Builder CK 扩展至 3.6.5 或更高版本; 对数据库查询参数进行严格的预处理和转义处理; 部署 Web 应用防火墙（WAF）以拦截可疑 SQL 注入请求

CVE-2026-77994

[投毒情报] @medisend/auth@0.0.1-security-research (npm)

该版本被发现与恶意活动相关域名通信并执行恶意命令，请立即排查依赖并锁定版本。

MD5: 6cf7cbadfea90673eda5dc423392af43

[投毒情报] kelly-stake-sizing@0.1.1 (npm)

该版本被发现与恶意活动相关域名通信并执行恶意命令，请立即排查依赖并锁定版本。

MD5: 1c20a1dd2fb23d086786baf1ac252343

[投毒情报] svelte-dim-ui@>= 0 (npm)

该版本被发现与恶意活动相关域名通信并执行恶意命令，请立即排查依赖并锁定版本。

MD5: 9e0eb4c09af0897c10d38c5641ba31d6

[投毒情报] classhomework@>= 0 (npm)

该版本被发现与恶意活动相关域名通信并执行恶意命令，请立即排查依赖并锁定版本。

MD5: 24ff6662567d594218a3c3956f29d275

[投毒情报] classwork@>= 0 (npm)

该版本被发现与恶意活动相关域名通信并执行恶意命令，请立即排查依赖并锁定版本。

MD5: c3aa7d7d326c817df8edeac3464e917c

[投毒情报] desmosisfire@>= 0 (npm)

该版本被发现与恶意活动相关域名通信并执行恶意命令，请立即排查依赖并锁定版本。

MD5: ad172bbc784beafc003e4937eb9af214

[投毒情报] desmosistuff@>= 0 (npm)

该版本被发现与恶意活动相关域名通信并执行恶意命令，请立即排查依赖并锁定版本。

MD5: b8cb6ed8403b02edb352f560a5d4bde0

[投毒情报] desmosschoolwork@>= 0 (npm)

该版本被发现与恶意活动相关域名通信并执行恶意命令，请立即排查依赖并锁定版本。

MD5: 1c1b000b2126ff213f4146d357dbe528

[投毒情报] ilovedesmos@>= 0 (npm)

该版本被发现与恶意活动相关域名通信并执行恶意命令，请立即排查依赖并锁定版本。

MD5: 112a43457429e35039fbe51b6fc5baca

[投毒情报] tungtungisgoated@>= 0 (npm)

该版本被发现与恶意活动相关域名通信并执行恶意命令，请立即排查依赖并锁定版本。

MD5: 99c06fcac970bce46e8b14d40be223ae

每日安全情报 2026-08-24｜CSSA 独家 2 · CVE 3 · 投毒 8 · 安势信息

Mon, 24 Aug 2026 09:00:00 +0800

[CSSA 独家预警] sub2api代理组件因信任伪造HTTP头导致IP访问控制与速率限制失效（10.0 超危）

攻击者利用默认配置下对CF-Connecting-IP头的无条件信任，通过构造恶意HTTP请求伪造源IP地址，从而绕过API Key的IP白名单校验及登录接口的速率限制机制，该缺陷源于后端未区分可信反向代理与普通客户端，导致安全防护逻辑被完全规避。

处置建议: 建议修改配置文件禁用默认信任转发IP选项，并在反向代理层剥离或覆盖非可信来源的特定HTTP头，同时建立严格的代理链信任验证机制以确保IP解析准确性。

[CSSA 独家预警] CubeSandbox因缺失认证机制且未实施速率限制导致任意用户可远程执行沙箱全生命周期操作（10.0 超危）

该漏洞源于CubeAPI在未配置认证凭据时默认绑定至0.0.0.0:3000端口，且日志仅以INFO级别记录而非发出警告，导致攻击者无需任何凭证即可从网络任意位置访问敏感端点。由于速率限制中间件仅在启用认证的代码分支中加载，无认证模式下完全缺乏频率控制，配合无条件应用的宽松CORS策略，攻击者可轻易发起大规模并发请求或跨站脚本攻击，从而滥用沙箱管理接口，造成计算资源耗尽、数据泄露及服务拒绝服务等严重后果。

处置建议: 建议修改代码逻辑解耦认证与限流模块，确保无论是否启用认证均强制应用速率限制机制。同时应将默认绑定地址调整为127.0.0.1或在检测到无认证配置时抛出严重警告并拒绝启动。此外需优化CORS配置实施白名单策略以防止跨域请求滥用，并在生产部署前严格校验环境变量设置。

[CVE-2026-78155] StackGres Operator权限提升漏洞导致获取管理员权限（9.9 超危）

在 StackGres operator 中，由于不可信的搜索路径（CWE-426）安全缺陷，存在权限提升漏洞。拥有数据库的低权限租户可利用此漏洞获取管理员权限。该漏洞允许攻击者在网络环境中以低复杂度进行利用，无需用户交互即可改变安全范围，对机密性、完整性和可用性造成严重影响。该漏洞影响所有未修复的 StackGres operator 部署场景。攻击者仅需拥有低权限租户身份即可触发漏洞，进而提升权限至管理员级别。

处置建议: 实施最小权限原则，严格限制租户对 operator 资源的访问权限; 监控 operator 的审计日志，检测异常的权限提升行为

CVE-2026-78155

[CVE-2026-5388] justhtml URL清理及HTML序列化绕过漏洞导致跨站脚本攻击（9.8 超危）

在 justhtml 1.15.0 版本前，其 URL 清理辅助函数（clean_url_value/clean_url_in_js_string）、HTML 序列化、Markdown 直通（html_passthrough=True）以及多个自定义清理策略的边缘情况中存在多个安全问题。根据配置不同，攻击者可以绕过清理机制注入活跃的 HTML 和 JavaScript——例如通过编码的 javascript: URL、被解析为远程主机的基于反斜杠的相对 URL、破坏标记结构的程序化元素/属性名称或 HTML 注释、通过 Markdown 直通重新引入原始，或在自定义策略中保留