2026-10-14 16:01:40 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

赛博安全狗：JeecgBoot存在未授权访问漏洞CVE-2026-108657 (10.11)

赛博安全狗
赛博安全狗

赛博看门狗

2026年10月12日 09:05
浙江

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

[ ROOT @ WATCHDOG ]

全网高价值安全威胁速递。包含高危漏洞、数据泄露与行业重点动态。

2026-10-11 · 10 条

今日重点

1.JeecgBoot存在未授权访问漏洞CVE-2026-108657

2.加拿大网络安全高管Edward Dubrovsky因涉嫌勒索被捕

3.研究称约1280款第三方产品嵌入AI

【一】行业和安全动态

行业动态

加拿大网络安全高管Edward Dubrovsky因涉嫌勒索被捕

加拿大网络安全高管Edward Dubrovsky在宾夕法尼亚州被捕，据称与FBI打击ShinyHunters黑客组织的行动有关。Dubrovsky曾担任多家帮助数据泄露和勒索软件受害者与黑客谈判的公司高管。FBI局长此前宣布逮捕了另一名ShinyHunters嫌疑人，据称其为Dubrovsky。公开法庭记录显示其面临共谋和勒索相关指控，但具体指控细节尚未公开。

来源：BleepingComputer · 10-10 23:07（北京时间）

行业动态

研究称约1280款第三方产品嵌入AI

2026年Agent安全报告研究显示，约1280款第三方产品嵌入AI，其中约282款支持单点登录，其余约1000款因未通过身份基础设施认证而处于不可见状态。

来源：The Hacker News · 10-10 19:00（北京时间）

行业动态

工程师因勒索自家公司被判刑

美国密苏里州男子Daniel Rhyne因对自家工业公司实施网络勒索和破坏行为被判入狱32个月。他在2023年11月通过计划任务删除管理员账户并更改密码，随后勒索20比特币。

来源：SecurityWeek · 10-10 19:00（北京时间）

行业动态

IRify 升级架构支持 C# .NET 并新增四阶段扫描

IRify 对 SyntaxFlow 代码扫描引擎进行架构升级，将检测拆分为 source 源码检测、struct 结构检测、ssa 语义检测三种互补模式，并新增收集代码、代码检测、语义检测、深度分析四阶段扫描信息。规则库已近 1200 条，显式声明扫描模式的规则 759 条，支持正反例校验与误报治理。此次升级重点补齐 C#/.NET，提供 90 条内置规则，覆盖注入、反序列化、危险数据流、加密配置等 29 个 CWE 类别，并具备独立 csharp2ssa 语言前端。

来源：SecurityHub · 10-10 17:11（北京时间）

行业动态

研究揭示 Android APP 可通过 Localhost 绕过同源策略

研究揭示 Android 上拥有 INTERNET 权限的 APP 可在 localhost 特定端口启动本地服务，第三方网站脚本如 Meta Pixel、Yandex Metrica 能够访问 localhost，从而绕过浏览器同源策略和匿名化防护，与本地 APP 通信并获取用户隐私数据。被点名 APP 包括 Facebook、Instagram、Yandex Maps、Yandex Navigator、Yandex Search、Yandex Browser 等。Yandex 还将 yandexmetrica.com 解析到 127.0.0.1，并在 APP 内嵌入该域名证书和私钥，启动迷你 TLS 服务器，使脚本看似与 yandexmetrica.com 进行 TLS 通信，实际与本地 APP 通信，导致私钥可被提取。

来源：SecurityHub · 10-09 20:57（北京时间）

【二】数据泄露与隐私事件

本期暂无入选条目

【三】焦点漏洞与攻击预警

漏洞与攻击

JeecgBoot存在未授权访问漏洞CVE-2026-108657

安全研究人员发现JeecgBoot存在一处严重漏洞，影响版本至3.9.5。漏洞位于Tenant Approval Handler组件的SysTenantController.passApply函数，攻击者可通过远程操纵该函数导致未授权访问。该漏洞被分类为CVE-2026-108657，目前尚无公开利用程序。

来源：vuldb · 10-11 06:50（北京时间）

漏洞与攻击

JeecgBoot存在未授权访问漏洞

JeecgBoot至3.9.5版本存在未授权访问漏洞，攻击者可利用该漏洞获取任意用户存储的密码值，并使用硬编码密钥解密AES-CBC保护的数据。

来源：cvefeed · 10-11 06:16（北京时间）

漏洞与攻击

JeecgBoot 存在未授权访问漏洞允许读取 MCP 服务器配置

JeecgBoot through 3.9.5 包含一个缺失授权漏洞，允许任何已认证用户读取 MCP 服务器配置，因为 queryById 权限检查被注释掉。攻击者可以从无保护的 /airag/app/queryById 端点获取记录 ID，并检索 MCP 端点 URL、标头和出站身份验证令牌。

来源：cvefeed · 10-11 06:16（北京时间）

漏洞与攻击

JeecgBoot存在权限绕过漏洞允许低权限用户转移租户所有权

安全研究人员披露JeecgBoot 3.9.5及之前版本存在权限绕过漏洞。任何已认证用户可通过POST /sys/tenant/changeOwenUserTenant接口转移租户所有权，攻击者可利用此漏洞将租户所有者更改为自己。