本文使用的 Docker 镜像
发布日期： 2026 年 11 月 1 日
风险等级： 高危（High，按 CVSS 3.1）
漏洞编号： CVE-2026-120191
涉及镜像： ghcr.io/presenton/presenton — 轩辕镜像 · GHCR
CVSS： 7.3（High，CVSS 3.1：AV:N/AC:L/PR:N/UI:N）。CVSS 4.0 为 5.5（Medium）
披露时间： NVD 于 2026 年 11 月 1 日公开
相关公告： v0.9.12-beta · Issue #972
一、漏洞概述
Presenton v0.9.11-beta 及更低的 API 没有认证。不需要账号，只要网络能打到服务端口，就可以调用本地设置、私有文件，以及会改动实例状态的相关接口。自托管的 Docker 和桌面场景都在范围内。CVSS 3.1 为 7.3，CVSS 4.0 记为 5.5。
把 API 暴露到局域网以外时，风险最高。
二、漏洞状态
统计截止： 2026 年 11 月 1 日（UTC+8）
| 项目 | 状态 |
|---|---|
| 漏洞细节 | 已公开（NVD、项目 issue） |
| 受影响版本 | ≤ v0.9.11-beta |
| 官方补丁 | ≥ v0.9.12-beta |
| 镜像标签 | GHCR 上 v0.9.12-beta 与今天的 latest 是同一份镜像。v0.9.11-beta 仍在，且不是这份修复镜像 |
| Docker Hub | 没有官方 presenton/presenton 仓 |
| CISA KEV | 未列入 |
三、影响范围
把 Presenton 的 API 或服务端口暴露到不可信网络的自托管实例。只在本机回环上监听、并且没有做端口转发的桌面安装，暴露面小得多，仍应升级。
四、修复建议
升到 v0.9.12-beta 或更高。请固定 v0.9.12-beta。不要继续使用 v0.9.11-beta，也不要把 latest 写进长期配置。
*** 换成个人中心的专属前缀。不要在 ***-ghcr.xuanyuan.run 上用 GitHub PAT 执行 docker login。
bashdocker pull ***-ghcr.xuanyuan.run/presenton/presenton:v0.9.12-beta
GHCR： presenton/presenton
轩辕镜像： ghcr.io/presenton/presenton
修复说明见 PR #980 和 v0.9.12-beta。
五、临时缓解措施
在升级之前，不要把 Presenton 的服务端口继续暴露到公网或不可信网段。只允许本机或管理网段访问。这不能代替 v0.9.12-beta。
六、与轩辕镜像用户的相关说明
轩辕镜像提供的是镜像加速与拉取服务，不替代 Presenton 的版本修复。站内页是 GHCR 路径。加速域名是 ***-ghcr.xuanyuan.run，不是 docker.xuanyuan.run。今天的 latest 与 v0.9.12-beta 是同一份镜像，加速拉取 latest 以后可能不再锁定在这个版本。基于更旧标签二次构建的，要改基础标签后重新构建。
七、参考链接
- NVD：CVE-2026-120191
- GitHub：v0.9.12-beta · Issue #972 · PR #980
- GHCR：presenton/presenton
- 轩辕站内镜像页：ghcr.io/presenton/presenton
阅读原文
轩辕镜像安全团队
2026 年 11 月 1 日
评论交流
免责声明
本博客文章所提供的内容、技术方案、配置示例及部署指南等信息，仅供学习交流和技术参考使用。文章内容基于发布时的技术环境和版本信息编写，可能因时间推移、技术更新或环境差异而存在不适用的情况。
用户在参考本博客内容进行部署操作前，应当充分了解相关技术风险，并建议在测试环境中进行充分验证和测试，确认无误后再考虑在生产环境中使用。生产环境部署前，请务必进行数据备份，并制定相应的回滚方案。
用户因使用本博客内容进行部署操作而产生的任何损失、数据丢失、系统故障、安全风险或其他问题，均由用户自行承担全部责任。轩辕镜像官方不对因使用本博客内容而产生的任何直接或间接损失承担责任。
本免责声明的最终解释权归轩辕镜像官方所有。