本文使用的 Docker 镜像
发布日期： 2026 年 11 月 1 日
风险等级： 严重（Critical）
漏洞编号： CVE-2026-120209
涉及镜像： coosir/aj-report — 轩辕镜像 · Docker Hub
CVSS： 9.8（Critical，CVSS 3.1）。CVSS 4.0 为 9.3
披露时间： NVD 与 GHSA 于 2026 年 10 月 31 日公开
相关公告： GHSA-p83w-vf54-73v4
一、漏洞概述
AJ-Report 用一份写死的密钥给分享令牌签名。不需要登录，任何人都可以离线造出合法令牌，再让服务端去执行调用方提供的脚本。可以接管报表服务和已经配好的数据源，并沿网络继续访问。CVSS 3.1 为 9.8，CVSS 4.0 为 9.3。
受影响版本是 1.7.1 及更低。公开公告没有给出修复版本。
二、漏洞状态
统计截止： 2026 年 11 月 1 日（UTC+8）
| 项目 | 状态 |
|---|---|
| 漏洞细节 | 已公开（GHSA、NVD） |
| 受影响版本 | ≤ 1.7.1 |
| 官方补丁 | 尚未给出修复版本。官方仓库用 docker-compose 从源码构建，没有预构建的修复镜像 |
| 社区镜像 | coosir/aj-report:1.6.0 与 latest 是同一份镜像，推送于 2025 年 4 月 30 日。Hub 上没有 1.7.1。这两份都在受影响范围内 |
| CISA KEV | 未列入 |
三、影响范围
HTTP 端口对公网或不可信网络开放的 AJ-Report，包括用社区镜像跑的实例。不需要账号。
四、修复建议
现在没有可以拉取的官方修复标签。不要拉取 coosir/aj-report:1.6.0 或 latest，它们不是补丁。
自建部署请跟踪上游安全问题，等公布修复版本后再重新构建。在那之前把服务从不可信网络上撤下来。
Docker Hub： coosir/aj-report
轩辕镜像： coosir/aj-report
五、临时缓解措施
在补丁出现之前，不要继续暴露 1.7.1 及更低的实例。已经怀疑被访问过的，按数据源凭据失守处理并轮换。限制入口不能代替尚未发布的修复版本。
六、与轩辕镜像用户的相关说明
轩辕镜像提供的是镜像加速与拉取服务，不替代 AJ-Report 的版本修复。加速拉取社区镜像的 1.6.0 或 latest 不会变成修复版。上游给出修复版本之后，再改构建所用的版本并重新构建。
七、参考链接
- GitHub：GHSA-p83w-vf54-73v4
- NVD：CVE-2026-120209
- Docker Hub：coosir/aj-report
- 轩辕站内镜像页：coosir/aj-report
阅读原文
轩辕镜像安全团队
2026 年 11 月 1 日
评论交流
免责声明
本博客文章所提供的内容、技术方案、配置示例及部署指南等信息，仅供学习交流和技术参考使用。文章内容基于发布时的技术环境和版本信息编写，可能因时间推移、技术更新或环境差异而存在不适用的情况。
用户在参考本博客内容进行部署操作前，应当充分了解相关技术风险，并建议在测试环境中进行充分验证和测试，确认无误后再考虑在生产环境中使用。生产环境部署前，请务必进行数据备份，并制定相应的回滚方案。
用户因使用本博客内容进行部署操作而产生的任何损失、数据丢失、系统故障、安全风险或其他问题，均由用户自行承担全部责任。轩辕镜像官方不对因使用本博客内容而产生的任何直接或间接损失承担责任。
本免责声明的最终解释权归轩辕镜像官方所有。