Agnaistic 官方 self-host.docker-compose.yml 把 INITIAL_PASSWORD 写成 password、把 JWT_SECRET 写成 self-hosting。1.0.555 及更早版本按这份 Compose 暴露 3001 时,未认证攻击者可以用默认管理员登录,或用公开密钥签发管理员令牌(CVE-2026-108753,CVSS 9.4)。请立刻更换这两项,不要对公网暴露未更换默认值的实例。NVD 与 VulnCheck 尚未给出明确的已修复版本号。
Traefik 于 2026 年 10 月 7 日公开 7 条高危公告(CVSS 4.0 均为 7.0,暂无 CVE 编号),涉及 SNI 检查被跳过、NTLM/Negotiate 身份串用,以及 Ingress-NGINX provider 的认证与 mTLS 问题。请把官方镜像升到 v2.11.58 或 v3.7.14。官方二进制和官方镜像不受其中的 SNI 那一条影响。
Harbor 低于 2.13.6、2.14.0 至 2.14.4、2.15.0 至 2.15.2 存在三条高危问题:项目管理员可将 webhook 指向内网并读到错误响应(GHSA-2phj-cp9f-qq6w,CVSS 8.5);/v2/ 路径中的 .. 可跨项目读写 manifest(GHSA-qj39-pjf2-wmrc,CVSS 8.3);HTTP 认证代理下名为 admin 的用户会获得仓库管理员权限(GHSA-xvh7-74g6-29xw,CVSS 7.5)。请升级到 2.13.6、2.14.5 或 2.15.3。暂无 CVE 编号。
Harbor 低于 2.13.6、2.14.0 至 2.14.4、2.15.0 至 2.15.2 时,带有 User: Update 的系统机器人可以改任意用户的系统管理员标记;勾选覆盖所有项目并带有 Project 权限的系统机器人会变成全局权限(两条均为 High,CVSS 7.2,暂无 CVE 编号)。请升级到 2.13.6、2.14.5 或 2.15.3。同一批版本也修复了 CVE-2026-92770。
Tinyauth 5.1.2 之前按转发主机名匹配 per-app ACL 时使用大小写敏感比较,而已登录低权限用户改主机名大小写可使 ACL 查找失败并回落到空 App(fail-open),从而绕过该应用的 users/groups/OAuth/LDAP/IP 限制(CVE-2026-77560,CVSS 约 8.1 High)。请升级至 ≥ v5.1.2(建议 v5.2.0 / v5)。
Mailu 在配置 PROXY_AUTH_WHITELIST 且未设 REAL_IP_HEADER 时,客户端可控的 X-Forwarded-By 会被信任用于代理认证,未认证远程攻击者可伪造可信代理身份并绕过认证(CVE-2026-85751,CVSS 9.8 Critical)。请升级至 Mailu 2024.06.55(helm-charts ≥ 2.7.3),或临时设置 REAL_IP_HEADER。