🔴 严重 | CVE-2026-13380 — VSee Clinic 7.1.26 and VSee Clinic API 1.3.0 expos...

发布于：2026/07/21更新于：2026/07/28📖 8分钟👁️ 31 次阅读

🔴 【深度分析】严重安全漏洞：CVE-2026-13380

CVSS 评分: 严重（9.0）🔴　　状态: Awaiting Analysis　　发布时间: 2026-07-20

🔍 技术细节速览

字段	值
CVE ID	`CVE-2026-13380`
CVSS 评分	9.0 🔴
严重程度	严重
CVSS 向量	`CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:N/VA:N/SC:H/SI:H/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X`
CWE 分类	`CWE-201,CWE-312`
发布时间	2026-07-20
最后更新	2026-07-23
状态	Awaiting Analysis
数据来源	57dba5dd-1a03-47f6-8b36-e84e47d335d8

⚠️ CVSS 4.0 评分：9.0（严重）
向量：CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:N/VA:N/SC:H/SI:H/SA:N
危害等级：严重（Critical）

漏洞概述

CVE-2026-13380 存在于 VSee Clinic 7.1.26 及 VSee Clinic API 1.3.0 中。该漏洞允许未经认证的远程攻击者，通过访问三个未受保护的 HTTP 端点，获取明文形式的 SFTP 凭据。当应用程序中配置了 SFTP 连接时，这些端点会直接将 SFTP 用户名和密码明文返回。攻击者无需任何身份验证即可获取这些凭据，进而访问对应的 SFTP 服务器，可能导致敏感医疗数据泄露、数据篡改或进一步横向移动。

该漏洞由 CWE-201（敏感信息嵌入在发送的数据中） 和 CWE-312（明文存储敏感信息） 共同描述，表明系统在设计上未能对敏感凭据进行保护。

受影响组件与版本

组件	受影响版本
VSee Clinic（核心应用）	7.1.26（及可能更早版本）
VSee Clinic API	1.3.0（及可能更早版本）

注意：根据 NVD 当前信息，仅确认以上两个版本受影响。其他版本可能也存在风险，建议用户自查并关注厂商公告。

漏洞原理分析

根据漏洞描述，VSee Clinic 系统中存在三个 HTTP 端点，其设计本意可能是提供 SFTP 配置状态的查询或用于内部管理。然而，这些端点未实施任何身份验证机制，并且在响应中直接明文返回了 SFTP 服务器的用户名和密码。具体细节包括：

触发条件：仅当管理员在应用程序中配置了 SFTP 连接（例如用于传输医疗影像或报告）后，这些端点才会在响应中包含凭据。若未配置 SFTP，端点可能返回空值或错误信息。
攻击向量：攻击者通过网络向目标实例发送 HTTP 请求（如 GET /api/xxx），即可获取返回的 JSON/XML 数据，从中提取 sftp_user 和 sftp_password 字段。
缺乏加密与防护：凭据未经过任何脱敏（如掩码）、加密或使用 TLS 传输（但即使使用 HTTPS，响应内容本身仍是明文）。此外，端点未校验请求来源或身份。

由于 CVSS 向量中 AT:P（Attack Requirements: Present）表明攻击需要一定的前置条件——即目标系统必须已启用并配置了 SFTP 功能。一旦满足此条件，攻击复杂度极低（AC:L），无需权限（PR:N），无需用户交互（UI:N）。

影响评估

维度	评估
攻击复杂度	低（只需发送 HTTP 请求，无需特殊技巧）
所需权限	无（未认证端点）
前置条件	目标实例已配置 SFTP 连接
利用影响	获取 SFTP 凭据后，攻击者可： • 读取/下载 SFTP 服务器上的敏感数据（如患者数据、诊断报告）——机密性高（`VC:H`） • 上传恶意文件或篡改现有文件，可能导致后续系统受影响——次级系统完整性高（`SI:H`） • 若 SFTP 凭据与其他服务共用，可能引发凭据横向移动
漏洞利用现状	截至数据发布日，尚未公开利用代码或验证细节，但 NVD 标记为“等待分析”，预计 PoC 可能很快出现。

由于医疗数据的敏感性，该漏洞被评定为严重等级，实际业务风险极高。

修复建议

正式补丁（建议）

截至本文撰写时，厂商尚未发布官方补丁或安全公告。建议持续关注 VSee 官方 的更新渠道，一旦有新版本（如 7.1.27 或 API 1.3.1）立即升级。

临时缓解措施

若无法立即升级，可采取以下措施降低风险：

禁用未认证端点
通过 Web 服务器配置（如 Nginx/Apache）或应用防火墙（WAF）限制对以下三个未知路径的访问，仅允许内部网络或特定 IP 访问：
```
# 假设端点路径（需结合实际应用确定）
/api/v1/sftp/config
/api/v2/sftp/status
/api/health/sftp
```
具体路径需通过逆向或咨询厂商确认。
修改 SFTP 凭据
立即更改 SFTP 服务器的密码，并避免在 VSee Clinic 中重复使用同一凭据。
网络层隔离
将 VSee Clinic 应用与 SFTP 服务器置于不同网络段，并通过防火墙限制 SFTP 服务仅允许来自 VSee 服务器特定 IP 的访问。
监控与审计
在 SFTP 服务器上启用详细日志，监控异常连接或文件操作。同时检查 Web 服务器日志，排查是否有来自未知 IP 对可疑端点的访问。
移除敏感输出
若具备开发能力，可临时修改代码，确保这些端点不再返回明文凭据，改为返回布尔型状态（如 {"sftp_configured": true}）。

参考资料

CVE 详情页：https://nvd.nist.gov/vuln/detail/CVE-2026-13380
CWE-201：https://cwe.mitre.org/data/definitions/201.html（敏感信息嵌入在发送的数据中）
CWE-312：https://cwe.mitre.org/data/definitions/312.html（明文存储敏感信息）
VSee 官方网站：https://vsee.com（用于跟踪安全公告）
CVSS 4.0 计算器：https://www.first.org/cvss/calculator/4.0#CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:N/VA:N/SC:H/SI:H/SA:N

免责声明：本文基于 NVD 公开数据分析，部分技术细节（如端点路径）根据经验推测，实际需以厂商披露为准。在未获得官方授权的情况下，请勿对生产环境进行未授权的探测。

💬 评论