每早八时出报
AI · 模型 · 产业
新闻枢纽 · 日报
中文 AI 资讯
NEWSHUB DAILY
多款关键组件出现可远程利用的安全缺陷：Perl Dancer <1.3400 会话 ID 未验证、Perl HTTP::Session <0.43 Memcached 命令注入，以及 Apache Shiro <3.0.1 认证绕过与 RememberMe 会话固定；另有 Shiro <3.0.2 授权注解未强制生效、以及 3.0.2 对路径匹配与 Jakarta 标签 XSS 的修复。需要升级到对应安全版本以消除认证与会话层面的越权风险。与此同时，Stash v5.0.0 以全新 MTProto/XHTTP/脚本引擎、Tailscale 集成与多项网络/规则增强提升可观测与自动化能力。
01:09Stash（App Store）
Stash v5.0.0 带来多项核心能力升级。网络层新增 MTProto 代理支持，VLESS/Trojan 引入 XHTTP、splithttp、gun 等传输选项及 XMUX 多路复用；规则引擎增加 pre-match 拦截机制。全新脚本引擎支持响应网络事件自动执行，具备 gzip/zlib 压缩解压与 GeoIP 查询功能。客户端深度集成 Tailscale，可管理节点状态、DNS 解析及退出节点。此外，新增 Graphite 主题、SOCKS4a 支持、热点代理及 traceroute 诊断。
04:28oss-security（开源安全披露）
CPAN 安全组披露 Perl Web 框架 Dancer 存在严重安全漏洞。在 1.3400 版本之前，Dancer 在处理会话时，会将来自 session cookie 的会话 ID 直接传递给会话引擎，而未进行任何有效性验证。攻击者可通过构造恶意会话 ID 利用此缺陷，可能导致会话劫持或越权访问等安全风险。该漏洞影响所有低于 1.3400 版本的 Dancer 用户。建议相关开发者立即检查项目依赖版本，并升级至 1.3400 或更高版本以修复此问题，确保应用会话安全性。
02:39oss-security（开源安全披露）
CPAN安全组披露了 Perl 模块 HTTP::Session 在版本 0.43 之前存在的安全漏洞（CVE-2011-10042）。该漏洞位于 HTTP::Session::Store::Memcached 组件中，由于会话 ID（session ids）未进行过滤处理，攻击者可通过构造恶意的会话 ID 向 Memcached 服务器注入任意命令。此漏洞允许远程攻击者在受影响的系统中执行代码，可能导致数据泄露或系统被完全控制。受影响的用户应尽快升级至 0.43 或更高版本以修复此问题。
02:37oss-security（开源安全披露）
Robert Rothenberg 披露 Perl 模块 JSON::XS 在 4.05 版本前存在 7 个安全漏洞。其中 CVE-2026-124536 允许攻击者通过 incr_parse 中 NUL 字节后的增量输入缓冲导致内存耗尽；CVE-2026-124539 在 decode_hv 中因缺少冒号拒绝对象时泄露已解码的键值；CVE-2026-124540 允许通过 allow_tags 下的嵌套标记值触发栈耗尽。这些漏洞涉及核心解析逻辑，可能导致服务中断或信息泄漏。
14:00oss-security（开源安全披露）
Apache Shiro (org.apache.shiro:shiro-core) 在版本低于 3.0.1 时，若 DefaultLdapRealm 启用了身份验证缓存，将导致严重的安全漏洞。具体表现为：用户首次登录成功后，其认证凭据会被缓存；此后该用户再次尝试登录时，系统会直接跳过 LDAP 绑定验证并读取缓存，从而允许使用任意密码成功通过身份验证。此漏洞由 Lenny Primak 披露，CVSS 4.0 评分为 9.1（危急），具有网络可攻击、低复杂度且无需权限的特点，可导致高机密性与完整性损失。
13:06oss-security（开源安全披露）
Apache Shiro 在 shiro-core 与 shiro-web 模块中存在会话固定（Session Fixation）漏洞，影响版本为 3.0.1 之前。当用户通过“Remember me”功能进行身份验证时，攻击者可能利用此机制固定会话标识符，从而接管或操纵已认证用户的会话状态。该漏洞 CVSS 4.0 评分为 5.9（中等），具有网络可利用、低复杂度及无需权限等特征，可能导致高机密性泄露。开发者需尽快升级至 3.0.1 或更高版本以修复此安全问题。
12:53oss-security（开源安全披露）
Lenny Primak 披露 Apache Shiro 存在 CVE-2026-74763 漏洞，CVSS 评分为 6.3（中等）。该问题涉及 shiro-guice、shiro-aspectj、shiro-cdi 及 shiro-jakarta-ee 组件。当授权注解放置位置不同时，权限控制可能未被强制执行，导致潜在越权风险。受影响版本为上述模块低于 3.0.2 的版本。
09:39oss-security（开源安全披露）
Apache Shiro 发布 3.0.2 版本，修复了 CVE-2026-114737 安全漏洞。此前对 CVE-2026-23903 的修复存在遗漏，导致手动创建的 ShiroFilterFactoryBean 默认仍区分大小写匹配路径。攻击者可利用此缺陷构造特定路径绕过静态文件验证。CVSS 4.0 评分为 2.3，影响 org.apache.shiro:shiro-spring 3.0.1 至 3.0.2 前版本。建议用户升级以消除隐患。
09:41oss-security（开源安全披露）
Apache Shiro在shiro-web与shiro-jakarta-ee模块的Jakarta Pages及Faces组件中，存在principal标签未转义输出的安全缺陷。攻击者可利用该缺陷构造跨站脚本（XSS）攻击。受影响版本为shiro-web与shiro-jakarta-ee低于3.0.2的版本。官方已发布3.0.2版本修复此问题，CVSS 4.0评分为2.1（低危）。
