本文使用的 Docker 镜像
发布日期： 2026 年 10 月 31 日
风险等级： 高危（High）
漏洞编号： CVE-2026-116748
涉及镜像： linuxserver/transmission — 轩辕镜像 · Docker Hub
CVSS： 8.8（High，CVSS 3.1）
披露时间： 4.1.3 已发布；linuxserver 镜像 4.1.4 于 2026 年 10 月 30 日推送
相关公告： Transmission 4.1.3
一、漏洞概述
Transmission 的 RPC 跨域策略过宽。用户只要用浏览器打开一个恶意网页，这个网页就能读走用来防止跨站请求的会话标识，再代用户调用 RPC。可以改下载目录、触发种子完成后的脚本、删除种子。完成脚本如果会执行命令，影响可以到在主机上执行命令或破坏数据。CVSS 3.1 为 8.8。
常见于 NAS 和家用容器里对局域网或公网开放的 Web/RPC。
二、漏洞状态
统计截止： 2026 年 10 月 31 日（UTC+8）
| 项目 | 状态 |
|---|---|
| 漏洞细节 | 已公开（上游发行说明、NVD） |
| 官方补丁 | Transmission ≥ 4.1.3 |
| 镜像标签 | linuxserver/transmission 上已有 4.1.3 与 4.1.4。今天的 latest 与 4.1.4 是同一份镜像 |
| CISA KEV | 未列入 |
三、影响范围
RPC 或 Web 界面能被浏览器访问到的 Transmission。用户访问恶意网页时，浏览器会带着这个漏洞去打自家的下载器，包括只对局域网开放、但用户电脑能访问到的实例。
四、修复建议
上游升到 4.1.3 或更高。linuxserver 镜像请固定 4.1.4。不要把 latest 写进长期配置。
bashdocker pull docker.xuanyuan.run/linuxserver/transmission:4.1.4
Docker Hub： linuxserver/transmission
轩辕镜像： linuxserver/transmission
五、临时缓解措施
在升级之前，不要把 Transmission 的 Web/RPC 暴露到浏览器能随意外连的地址上。已经配置了完成脚本的实例，先确认脚本不会被一次改目录或改脚本设置利用。这些都不能代替 4.1.3 及以上。
六、与轩辕镜像用户的相关说明
轩辕镜像提供的是镜像加速与拉取服务，不替代 Transmission 的版本修复。docker pull docker.xuanyuan.run/linuxserver/transmission:4.1.4 高于修复下限 4.1.3。加速拉取 latest 不会一直锁定在 4.1.4。基于更旧标签二次构建的，要改基础标签后重新构建。
七、参考链接
- Transmission：4.1.3
- NVD：CVE-2026-116748
- 分析：Transmission RPC CSRF
- Docker Hub：linuxserver/transmission
- 轩辕站内镜像页：linuxserver/transmission
阅读原文
轩辕镜像安全团队
2026 年 10 月 31 日
评论交流
免责声明
本博客文章所提供的内容、技术方案、配置示例及部署指南等信息，仅供学习交流和技术参考使用。文章内容基于发布时的技术环境和版本信息编写，可能因时间推移、技术更新或环境差异而存在不适用的情况。
文中提及的第三方镜像由其原维护者自行维护与更新，轩辕镜像不负责相关镜像的维护。如镜像涉及版权争议或违法违规情形，请直接联系该镜像维护者处理，相关事宜与轩辕镜像无关。
用户在参考本博客内容进行部署操作前，应当充分了解相关技术风险，并建议在测试环境中进行充分验证和测试，确认无误后再考虑在生产环境中使用。生产环境部署前，请务必进行数据备份，并制定相应的回滚方案。
用户因使用本博客内容进行部署操作而产生的任何损失、数据丢失、系统故障、安全风险或其他问题，均由用户自行承担全部责任。轩辕镜像官方不对因使用本博客内容而产生的任何直接或间接损失承担责任。
本免责声明的最终解释权归轩辕镜像官方所有。