🔴 《严重安全漏洞：CVE-2026-65688》

CVSS 评分: 严重（9.3）　　状态: Received　　发布时间: 2026-07-23

漏洞简介

CVE-2026-65688 是一个存在于 Bold Reports Standalone Report Designer 中的安全漏洞，该漏洞属于 路径遍历（Path Traversal） 类型，对应 CWE-22 分类。漏洞源于软件在字体处理（font processing）功能中缺少对文件路径的有效验证（missing filepath validation）。

具体来说，在 14.1.12 版本之前 的 Bold Reports Standalone Report Designer 中，未认证的远程攻击者可以通过发送特制的请求（crafted request），利用该路径遍历弱点读取服务器文件系统中的任意文件。攻击者无需任何身份验证即可触发此漏洞。

影响范围

  • 受影响软件：Bold Reports Standalone Report Designer
  • 受影响版本：所有早于 14.1.12 的版本
  • 修复版本：14.1.12（包含在 2026 年发布的更新中）

风险分析

该漏洞的 CVSS 4.0 评分为 10.0（严重），攻击向量为网络（AV:N），攻击复杂度低（AC:L），无需特权（PR:N）且无需用户交互（UI:N），对机密性、完整性和可用性均造成高影响（VC:H/VI:H/VA:H）。

攻击后果：

  1. 敏感信息泄露：攻击者可以读取服务器上的任意文件，包括但不限于：
    • 应用程序配置文件（可能包含数据库连接字符串、API 密钥等）
    • 认证凭据（如用户密码哈希、会话令牌等）
    • 系统关键文件（如 /etc/passwd、SSL 证书私钥等）
  2. 完全未授权访问：通过获取的认证凭据，攻击者能够以合法用户身份登录系统，进而执行任意操作，包括：
    • 查看、修改或删除报告数据
    • 提升权限至管理员级别
    • 横向移动至其他内部系统
  3. 服务器完全沦陷：结合其他攻击手段（如利用泄露的凭据进行远程代码执行），攻击者可能获得对服务器的完全控制权。

总结：此漏洞允许未认证的远程攻击者读取服务器任意文件，直接导致敏感信息泄露，并可能进一步演变为对整个应用和底层服务器的完全控制。建议所有受影响版本的用户立即升级至 14.1.12 或更高版本。

🔍 技术细节

字段 值
CVE ID CVE-2026-65688
CVSS 评分 9.3 🔴
严重程度 严重
CVSS 向量 CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
CWE 分类 CWE-22
发布时间 2026-07-23
最后更新 2026-07-23
状态 Received
数据来源 disclosure@vulncheck.com

🔗 参考链接