本文使用的 Docker 镜像
发布日期： 2026 年 10 月 31 日
风险等级： 高危（High）
漏洞编号： CVE-2026-96630、CVE-2026-96631、CVE-2026-96632、CVE-2026-96633、CVE-2026-59978
涉及镜像： adminneoorg/adminneo — 轩辕镜像 · Docker Hub
CVSS： CVE-2026-96631 为 8.2 · CVE-2026-96633 为 8.1 · CVE-2026-59978 为 7.5 · CVE-2026-96630 为 7.2。CVE-2026-96632 为 High
披露时间： 镜像 5.8.0 于 2026 年 10 月 31 日推送
相关公告： NVD CVE-2026-96631
一、漏洞概述
官方镜像 adminneoorg/adminneo 一次升到 5.5.1 可以盖住下面几条。请直接固定更新的 5.8.0。
| 编号 | 级别 | 后果 |
|---|---|---|
| CVE-2026-96631 | High 8.2 | 反向代理传来的前缀头可以改写 Set-Cookie 的属性 |
| CVE-2026-96633 | High 8.1 | 删除数据库列表时的路径没有收住，已登录用户可以删到其他文件 |
| CVE-2026-96630 | High 7.2 | SQLite 维护命令可以绕过附件限制，已登录用户可能在服务器上执行代码 |
| CVE-2026-96632 | High | 数据库返回的版本字符串会进页面，恶意内容可以在浏览器里执行脚本 |
| CVE-2026-59978 | High 7.5 | 版本缓存可以被注入，造成持续的拒绝服务。这条在 5.5.0 已修 |
5.5.0 只盖住最后一条。其余四条要 5.5.1。
二、漏洞状态
统计截止： 2026 年 10 月 31 日（UTC+8）
| 项目 | 状态 |
|---|---|
| 漏洞细节 | 已公开（NVD） |
| 官方补丁 | 统一 ≥ 5.5.1 |
| 镜像标签 | Hub 上已有 5.5.1 与 5.8.0。今天的 latest 与 5.8.0 是同一份镜像 |
| CISA KEV | 未列入 |
三、影响范围
对登录用户开放的 AdminNeo，包括官方 Docker 镜像。拒绝服务那条和页面脚本还取决于谁能改到被缓存的版本信息或让数据库返回恶意版本字符串。
四、修复建议
升到 5.5.1 或更高。请固定 5.8.0。不要停在 5.5.0，也不要把 latest 写进长期配置。
bashdocker pull docker.xuanyuan.run/adminneoorg/adminneo:5.8.0
Docker Hub： adminneoorg/adminneo
轩辕镜像： adminneoorg/adminneo
五、临时缓解措施
在升级之前，不要把 AdminNeo 继续暴露给不可信的登录用户，并限制谁能连到 SQLite 和 MySQL 管理功能。这不能代替 5.5.1 及以上。
六、与轩辕镜像用户的相关说明
轩辕镜像提供的是镜像加速与拉取服务，不替代 AdminNeo 的版本修复。docker pull docker.xuanyuan.run/adminneoorg/adminneo:5.8.0 高于统一下限 5.5.1。今天的 latest 与 5.8.0 是同一份镜像，加速拉取 latest 以后可能不再锁定在这个版本。基于更旧标签二次构建的，要改基础标签后重新构建。
七、参考链接
- NVD：CVE-2026-96630 · CVE-2026-96631 · CVE-2026-96632 · CVE-2026-96633 · CVE-2026-59978
- Docker Hub：adminneoorg/adminneo
- 轩辕站内镜像页：adminneoorg/adminneo
阅读原文
轩辕镜像安全团队
2026 年 10 月 31 日
评论交流
免责声明
本博客文章所提供的内容、技术方案、配置示例及部署指南等信息，仅供学习交流和技术参考使用。文章内容基于发布时的技术环境和版本信息编写，可能因时间推移、技术更新或环境差异而存在不适用的情况。
用户在参考本博客内容进行部署操作前，应当充分了解相关技术风险，并建议在测试环境中进行充分验证和测试，确认无误后再考虑在生产环境中使用。生产环境部署前，请务必进行数据备份，并制定相应的回滚方案。
用户因使用本博客内容进行部署操作而产生的任何损失、数据丢失、系统故障、安全风险或其他问题，均由用户自行承担全部责任。轩辕镜像官方不对因使用本博客内容而产生的任何直接或间接损失承担责任。
本免责声明的最终解释权归轩辕镜像官方所有。