【漏洞预警】AJ-Report 爆严重漏洞，伪造分享令牌就能执行代码（CVE-2026-120209）

AJ-Report 1.7.1 及更低用写死的密钥签发分享令牌。未登录的人可以伪造令牌，并让服务端执行攻击者提供的脚本（CVE-2026-120209，CVSS 3.1 为 9.8，CVSS 4.0 为 9.3）。公开公告没有给出修复版本。官方以源码构建交付。社区镜像 coosir/aj-report 的 1.6.0 与 latest 是同一份，都在受影响范围内，不能当补丁。