🔴 《严重安全漏洞：CVE-2026-67594》

CVSS 评分: 严重（9.3）　　状态: Deferred　　发布时间: 2026-07-30

漏洞简介

CVE-2026-67594 是一个存在于 Spikster 项目中的身份验证缺失（Missing Authentication）漏洞，对应 CWE-306（关键功能缺少身份验证）。该漏洞源于 Spikster 在 API 路由配置中注册了名为 CipiAuth 的中间件（middleware），但该中间件从未被实际应用到任何 API 路由上，导致所有 API 端点均未受到身份验证保护。

攻击者无需任何身份凭证，即可通过远程网络（AV:N）利用该漏洞，以低复杂度（AC:L）发起攻击，且无需用户交互（PR:N, UI:N）。根据 CVSS 4.0 评分向量，该漏洞对机密性（VC:H）、完整性（VI:H）和可用性（VA:H）均造成严重影响，综合评分极高。

影响范围

风险分析

由于 CipiAuth 中间件未绑定到任何路由，攻击者可以绕过所有身份验证检查，直接调用所有 API 接口，具体风险包括但不限于：

  1. 服务器枚举与配置：攻击者可以枚举已注册的服务器列表，并对其进行配置操作，可能导致服务器被恶意接管。
  2. 权限提升与密码重置：能够重置 root 密码，从而获得对系统的最高控制权限。
  3. 任意文件读写：可在主机上读取或写入任意文件，导致敏感信息泄露（如配置文件、密钥、数据库凭证）或植入恶意文件（如 webshell、后门）。
  4. 数据库用户创建：能够创建新的数据库用户，进而操纵数据库内容，造成数据泄露或破坏。

综合来看，该漏洞允许未经认证的远程攻击者完全控制受影响的 Spikster 实例及其管理的服务器，属于严重级别的安全风险，建议立即升级或修复。

🔍 技术细节

字段 值
CVE ID CVE-2026-67594
CVSS 评分 9.3 🔴
严重程度 严重
CVSS 向量 CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
CWE 分类 CWE-306
发布时间 2026-07-30
最后更新 2026-07-30
状态 Deferred
数据来源 disclosure@vulncheck.com

🔗 参考链接