第 5 页 | 标签「漏洞预警」相关文章

标签：漏洞预警

【漏洞预警】Agnaistic 自托管 Compose 使用公开默认口令与 JWT 密钥（CVE-2026-108753）

Agnaistic 官方 self-host.docker-compose.yml 把 INITIAL_PASSWORD 写成 password、把 JWT_SECRET 写成 self-hosting。1.0.555 及更早版本按这份 Compose 暴露 3001 时，未认证攻击者可以用默认管理员登录，或用公开密钥签发管理员令牌（CVE-2026-108753，CVSS 9.4）。请立刻更换这两项，不要对公网暴露未更换默认值的实例。NVD 与 VulnCheck 尚未给出明确的已修复版本号。

2026/10/13Docker漏洞预警4 次阅读

Agnaisticagnai

【漏洞预警】openPDC 已发布 Docker 镜像含固定管理员凭据与远程代码执行（ICSA-26-281-02）

CISA ICSA-26-281-02 写明 Grid Protection Alliance 已发布的 openPDC Docker 镜像受影响：镜像带固定管理员凭据（CVE-2026-105278，CVSS 9.8），服务控制台反序列化可远程代码执行（CVE-2026-100730，CVSS 9.8）。厂商不建议生产环境使用该镜像，镜像侧也没有修复计划。原生 openPDC / openHistorian 的版本修复没有回灌到 Docker 镜像。

2026/10/10Docker漏洞预警21 次阅读

openPDCopenHistorian

【漏洞预警】gvproxy 未认证接口可删除宿主机任意文件（CVE-2026-107935）

gvisor-tap-vsock 提供的 gvproxy 在 0.9.0 之前，未认证接口 /services/forwarder/expose 不校验调用方给出的套接字路径，可删除宿主机上的任意文件（CVE-2026-107935，CVSS 9.3）。影响 Podman machine、CRC 以及使用 gvproxy 的容器网络栈。请把该组件升到 0.9.0 或更高。

2026/10/10Docker漏洞预警13 次阅读

gvproxyPodman

【漏洞预警】gVisor sandbox overlay 释放后使用，可在 host sentry 执行代码（CVE-2026-95702）

Google gVisor 在 release-20260831.0 之前，sandbox overlay 的 MemoryFile 存在释放后使用或双重释放。容器内的攻击者可以在 host sentry 中执行代码；sentry 仍受宿主机 seccomp 与命名空间约束（CVE-2026-95702，CVSS 8.5）。请升级到 release-20260831.0 或更高，当前发行包含 release-20261005.0。

2026/10/10Docker漏洞预警9 次阅读

gVisorrunsc

【漏洞预警】Docker Desktop Windows 安装包不校验签名（CVE-2026-106581）

Docker Desktop for Windows 4.92.0 之前，Installer.exe install -package 不校验所供软件包的签名。攻击者诱使用户通过 Docker 签名的 UAC 提示后，安装动作会以 LocalSystem 执行（CVE-2026-106581，CVSS 7.3）。请升级到 4.92.0 或更高。

2026/10/10Docker漏洞预警12 次阅读

Docker DesktopCVE

【漏洞预警】Ollama /api/pull 层 digest 路径穿越可导致 root 远程代码执行（CVE-2026-103663）

Ollama 0.34.2 至 0.35.0 之前，未认证攻击者可通过 /api/pull 的 layer digest 路径穿越，把文件写到模型仓库之外（CVE-2026-103663，CVSS 9.4）。多数官方镜像对 /usr/lib/ollama 可写，服务重启后会以 root 加载执行。请把 ollama/ollama 升到 0.35.0 或更高。

2026/10/9Docker漏洞预警22 次阅读

OllamaCVE

【漏洞预警】LMCache HTTP 管理面未认证远程代码执行与配额篡改（CVE-2026-107204 / 107205 / 107206）

LMCache 到 0.5.5 为止暴露未认证的 /run_script，可绕过受限导入后执行系统命令（CVE-2026-107204，CVSS 9.8）。多进程 coordinator 与 HTTP 管理端默认监听所有网卡且无认证，可改配额、枚举缓存并读取环境凭证（CVE-2026-107205、CVE-2026-107206）。官方镜像 lmcache/vllm-openai 通常以 root 运行。公开资料尚未给出稳定修复版。

2026/10/9Docker漏洞预警14 次阅读

LMCachevLLM

【漏洞预警】Traefik 七条高危公告：认证绕过与身份串用（暂无 CVE 编号）

Traefik 于 2026 年 10 月 7 日公开 7 条高危公告（CVSS 4.0 均为 7.0，暂无 CVE 编号），涉及 SNI 检查被跳过、NTLM/Negotiate 身份串用，以及 Ingress-NGINX provider 的认证与 mTLS 问题。请把官方镜像升到 v2.11.58 或 v3.7.14。官方二进制和官方镜像不受其中的 SNI 那一条影响。

2026/10/8Docker漏洞预警21 次阅读

TraefikGHSA

共 52 篇文章