【漏洞预警】P4 Search 日志配置可写出目录外，配置接口回显明文凭据（CVE-2026-103508 / 103509）

发布日期： 2026 年 10 月 16 日
风险等级： 高危（High）
漏洞编号： CVE-2026-103508 · CVE-2026-103509
涉及镜像： perforce/p4search — 轩辕镜像 · Docker Hub
CVSS： 8.5（High，CVSS 4.0，CVE-2026-103509）
披露时间： 2026 年 10 月，Perforce CVE 记录
相关公告： Perforce · 日志配置

---

一、漏洞概述

P4 Search（Helix Search）索引 P4 Server 中的内容。官方容器镜像是 perforce/p4search。这两条和此前的 CVE-2026-100102、CVE-2026-100103 不是同一缺陷。2026.4.2 修的是调试接口和默认令牌；2026.4.2 本身仍受本文两条影响。

持有所连 P4 Server 管理权限的认证用户，可以提交恶意日志配置。服务会以 P4 Search 的服务账户，在预期日志目录之外写文件或删文件，并可能进一步执行代码（CVE-2026-103508）。

同一权限下，配置 API 会把已经保存的凭据以明文放进响应，造成凭据泄露，并给后续提权提供材料（CVE-2026-103509）。

两条都固定在 2026.4.3。

---

二、漏洞状态

统计截止： 2026 年 10 月 18 日（UTC+8）

---

三、影响范围

1. 版本与发行形态

Docker Hub 上目前可见的标签仍是 latest、r26.4、r26.3、r26.2、r26.1。这些名字不能直接当成 2026.4.3。拉取之后要在镜像或容器里核对产品版本。

没有 P4 Server 管理权限的普通搜索用户，不满足这两条的前提。版本低于或等于 2026.4.2 时，具备该权限的人仍然可以改日志配置或读取明文凭据。

2. 典型受影响场景

• 容器把 P4 Search 的管理或配置接口暴露给一批 P4 管理员
• 实例版本停在 2026.4.2，以为此前的调试接口问题已经修完
• 配置里保存了连接其他系统的凭据

---

四、修复建议

1. 把产品升到 2026.4.3 或更高（推荐）

Docker Hub： perforce/p4search

轩辕镜像： perforce/p4search

公告没有给出与 2026.4.3 对应的 Hub 标签名。不要把 latest 或 r26.4 直接写成修复版。选定标签并拉取后，用发行说明或容器内版本信息确认不低于 2026.4.3，再投入使用。

bash
docker pull docker.xuanyuan.run/perforce/p4search:<标签>

把 <标签> 换成已经确认含 2026.4.3 或更高产品版本的标签。

2. 升级后轮换曾经能被读出的凭据

配置 API 曾经对 P4 管理员开放、且版本低于或等于 2026.4.2 的，按已存凭据可能已被读出处理：轮换配置里保存的口令和令牌，并核对日志目录之外有没有新增或缺失的文件。

---

五、临时缓解措施

在升到 2026.4.3 之前：

1. 收紧谁拥有所连 P4 Server 的管理权限
   两条都要求这个权限。减少管理员数量可以缩小能改日志配置、能读明文凭据的人。

2. 不要把配置接口暴露到不可信网络
   已经是 P4 管理员的人仍可调用。网络隔离不能代替 2026.4.3。

3. 不要停在 2026.4.2
   这一版修的是更早的调试接口和默认令牌，不包含本文两条。

---

六、与轩辕镜像用户的相关说明

轩辕镜像提供的是镜像加速与拉取服务，不替代 P4 Search 的版本升级。

• 站内页：perforce/p4search。拉取命令形如 docker.xuanyuan.run/perforce/p4search:<标签>。
• 加速拉取不会自动变成 2026.4.3。Hub 标签与产品版本没有公开的一一对应，拉取后核对镜像内版本。
• 配置与排错见 轩辕镜像使用手册、镜像拉取 FAQ。

---

七、参考链接

• Perforce：日志配置路径（CVE-2026-103508）
• Perforce：配置 API 凭据（CVE-2026-103509）
• NVD：CVE-2026-103508
• NVD：CVE-2026-103509
• Docker Hub：perforce/p4search
• 轩辕站内镜像页：perforce/p4search

---

轩辕镜像安全团队
2026 年 10 月 16 日