🔴 《严重安全漏洞：CVE-2026-58122》

CVSS 评分: 严重（9.3）　　状态: Received　　发布时间: 2026-07-09

漏洞简介

CVE-2026-58122 是存在于 Hermes WebUI 组件中的一个认证绕过（Authentication Bypass） 漏洞，对应 CWE-348（使用不可信来源的 IP 地址进行访问控制）。该漏洞允许未认证的远程攻击者通过向目标服务器发送一个包含伪造的 X-Forwarded-For 头部（值为回环地址 127.0.0.1 或 ::1）的 HTTP 请求，绕过针对特定接入端点（onboarding endpoints）的本地来源 IP 限制。

具体而言，Hermes WebUI 在验证请求来源时，错误地信任了 X-Forwarded-For 头部中的 IP 地址，而没有验证该头部是否来自可信代理。攻击者利用这一缺陷，可以伪装成本地请求，从而访问本应仅允许本地网络访问的敏感接口。

影响范围

  • 受影响版本：Hermes WebUI 0.51.307 之前的所有版本。
  • 修复版本：Hermes WebUI v0.51.307（包含在 GitHub 发布的标签中）。
  • 修复提交：70596e6993be0d4cee083c1c1a86f5e7ad5d57b7（位于 nesquena/hermes-webui 仓库）。

风险分析

该漏洞的 CVSS 4.0 评分向量为 AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N，表明攻击者无需任何权限、无需用户交互，即可通过网络远程利用，且对机密性（Confidentiality）和完整性（Integrity）造成高影响，但对可用性（Availability）无直接影响。

攻击者成功利用此漏洞后，可实施以下三种主要攻击行为：

  1. 服务器端请求伪造（SSRF）：攻击者可以绕过限制，向内部服务发起请求，包括云元数据端点（cloud metadata endpoints，如 AWS 的 169.254.169.254）。这可能导致云环境中的临时凭据泄露，进而横向移动或获取更高权限。

  2. 配置与凭据篡改：攻击者能够覆盖大语言模型（LLM）提供商的配置信息及 API 密钥，将其替换为攻击者控制的值。这可能导致后续所有 LLM 调用被劫持，或敏感数据被重定向至攻击者指定的服务。

  3. OAuth 设备码流劫持：攻击者可触发 OAuth 设备码授权流程，获取存储在 auth.json 文件中的持久化访问令牌（persistent access tokens）。一旦获得这些令牌，攻击者即可长期以合法用户身份访问系统，无需再次认证。

综上所述，该漏洞允许未认证的远程攻击者完全绕过身份验证机制，直接对内部敏感资源进行读写操作，并可能获取持久化的访问凭据，属于高危安全风险。建议所有受影响用户立即升级至 v0.51.307 或更高版本。

🔍 技术细节

字段 值
CVE ID CVE-2026-58122
CVSS 评分 9.3 🔴
严重程度 严重
CVSS 向量 CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
CWE 分类 CWE-348
发布时间 2026-07-09
最后更新 2026-07-09
状态 Received
数据来源 disclosure@vulncheck.com

🔗 参考链接