本文使用的 Docker 镜像
发布日期： 2026 年 11 月 1 日
风险等级： 高危（High）
漏洞编号： CVE-2026-120203
涉及镜像： star7th/showdoc — 轩辕镜像 · Docker Hub
CVSS： 8.8（High，CVSS 3.1）。CVSS 4.0 为 8.7
披露时间： v3.9.6 发布于 2026 年 10 月 30 日；NVD 于 2026 年 10 月 31 日公开
相关公告： ShowDoc v3.9.6
一、漏洞概述
Mock 服务会把 mockjs 模板交给解释执行。已经登录的用户可以在模板里放入会被执行的内容，从而在容器里运行命令。官方全量镜像默认开启 Mock，进程常常以 root 运行，命令执行的权限跟着 root 走。可以读改文档库和 SQLite，并访问容器能到达的网络。CVSS 3.1 为 8.8，CVSS 4.0 为 8.7。
受影响版本是 2.8.14 至 3.9.5。修复从 3.9.6 起。
二、漏洞状态
统计截止： 2026 年 11 月 1 日（UTC+8）
| 项目 | 状态 |
|---|---|
| 漏洞细节 | 已公开（发行说明、NVD） |
| 受影响版本 | 2.8.14–3.9.5 |
| 官方补丁 | ≥ 3.9.6 |
| 镜像标签 | Hub 上已有 v3.9.6（2026 年 10 月 30 日）。latest 与 v3.9.6 不是同一份镜像 |
| CISA KEV | 未列入 |
三、影响范围
开启了 Mock 的 ShowDoc，包括默认开启 Mock 的官方全量镜像。需要一个能登录的账号，不要求管理员。
四、修复建议
升到 3.9.6 或更高。请固定 v3.9.6。不要写 latest。
bashdocker pull docker.xuanyuan.run/star7th/showdoc:v3.9.6
不用 Mock 的实例，升级后可以继续保持关闭。
Docker Hub： star7th/showdoc
轩辕镜像： star7th/showdoc
五、临时缓解措施
在升级之前，关掉 Mock，并收紧谁能登录。官方全量镜像默认是开着的，只改业务配置、不升镜像，下次用默认配置重建仍会打开。这不能代替 3.9.6。
六、与轩辕镜像用户的相关说明
轩辕镜像提供的是镜像加速与拉取服务，不替代 ShowDoc 的版本修复。docker pull docker.xuanyuan.run/star7th/showdoc:v3.9.6 就是这次的修复标签。加速拉取 latest 不会锁定在 v3.9.6。基于更旧标签二次构建的，要改基础标签后重新构建。
七、参考链接
- ShowDoc：v3.9.6
- NVD：CVE-2026-120203
- Docker Hub：star7th/showdoc
- 轩辕站内镜像页：star7th/showdoc
阅读原文
轩辕镜像安全团队
2026 年 11 月 1 日
评论交流
免责声明
本博客文章所提供的内容、技术方案、配置示例及部署指南等信息，仅供学习交流和技术参考使用。文章内容基于发布时的技术环境和版本信息编写，可能因时间推移、技术更新或环境差异而存在不适用的情况。
用户在参考本博客内容进行部署操作前，应当充分了解相关技术风险，并建议在测试环境中进行充分验证和测试，确认无误后再考虑在生产环境中使用。生产环境部署前，请务必进行数据备份，并制定相应的回滚方案。
用户因使用本博客内容进行部署操作而产生的任何损失、数据丢失、系统故障、安全风险或其他问题，均由用户自行承担全部责任。轩辕镜像官方不对因使用本博客内容而产生的任何直接或间接损失承担责任。
本免责声明的最终解释权归轩辕镜像官方所有。