本文使用的 Docker 镜像
发布日期： 2026 年 11 月 1 日
风险等级： 严重（Critical）
漏洞编号： CVE-2026-120201
涉及镜像： jpomdocker/jpom — 轩辕镜像 · Docker Hub
CVSS： 9.8（Critical，CVSS 3.1）。CVSS 4.0 为 9.3
披露时间： NVD 与 GHSA 于 2026 年 10 月 31 日公开
相关公告： GHSA-mr28-xw2h-9rw4 · Jpom #121
一、漏洞概述
Jpom 把 JPOM-USER-TOKEN 交给查询条件解析。未登录的人可以在这个字段里放上会被当成运算符的内容，从而匹配到超级管理员会话。拿到会话之后，可以通过自带的脚本功能在服务端执行命令。不需要合法口令。CVSS 3.1 为 9.8，CVSS 4.0 为 9.3。
受影响版本是 2.10.0 至 2.11.12。项目讨论指出，当前主干的登录校验还没有修上。
二、漏洞状态
统计截止： 2026 年 11 月 1 日（UTC+8）
| 项目 | 状态 |
|---|---|
| 漏洞细节 | 已公开（GHSA、NVD） |
| 受影响版本 | 2.10.0–2.11.12 |
| 官方补丁 | 公开渠道尚无修复版本。Hub 没有 2.11.13 |
| 镜像标签 | jpomdocker/jpom:2.11.12 与 latest 是同一份镜像，推送于 2025 年 5 月 6 日，都在受影响范围内 |
| CISA KEV | 未列入 |
三、影响范围
Jpom Server 的管理端口或 OpenAPI 能从不可信网络访问到的部署。控制的是 Jpom 本身及其编排、脚本能力，可以再打到它负责构建和部署的目标。
四、修复建议
现在没有可以拉取的修复标签。不要拉取 2.11.12 或 latest，它们不是补丁。
请跟踪 Jpom #121。官方镜像出现高于 2.11.12 的修复标签之后，再更换标签并重新部署。
Docker Hub： jpomdocker/jpom
轩辕镜像： jpomdocker/jpom
五、临时缓解措施
在补丁出现之前，不要把 Jpom 的管理端口和 OpenAPI 继续暴露在公网或不可信网段。只允许运维网段访问。已经怀疑被访问过的实例，按超级管理员会话失守处理，轮换它能接触到的构建和部署凭据。
六、与轩辕镜像用户的相关说明
轩辕镜像提供的是镜像加速与拉取服务，不替代 Jpom 的版本修复。加速拉取 2.11.12 或 latest 不会变成修复版。出现修复标签之后，再改基础标签并重新构建。
七、参考链接
- GitHub：GHSA-mr28-xw2h-9rw4 · Jpom #121
- NVD：CVE-2026-120201
- Docker Hub：jpomdocker/jpom
- 轩辕站内镜像页：jpomdocker/jpom
阅读原文
轩辕镜像安全团队
2026 年 11 月 1 日
评论交流
免责声明
本博客文章所提供的内容、技术方案、配置示例及部署指南等信息，仅供学习交流和技术参考使用。文章内容基于发布时的技术环境和版本信息编写，可能因时间推移、技术更新或环境差异而存在不适用的情况。
用户在参考本博客内容进行部署操作前，应当充分了解相关技术风险，并建议在测试环境中进行充分验证和测试，确认无误后再考虑在生产环境中使用。生产环境部署前，请务必进行数据备份，并制定相应的回滚方案。
用户因使用本博客内容进行部署操作而产生的任何损失、数据丢失、系统故障、安全风险或其他问题，均由用户自行承担全部责任。轩辕镜像官方不对因使用本博客内容而产生的任何直接或间接损失承担责任。
本免责声明的最终解释权归轩辕镜像官方所有。