Wukong\_HRM曝双重严重漏洞，最高CVSS 9.8，未认证攻击者可直接获取HR管理员权限(CVE-2026-108707)

原创

tuto
tuto

杂杂咱谈

2026年10月12日 10:29
福建

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

一、漏洞概述

Wukong\_HRM人力资源管理系统被披露存在两项严重安全漏洞，分别为CVE-2026-108707和CVE-2026-108708，CVSS 3.1评分分别为9.8和8.8。

Wukong\_HRM是一款基于Java Spring Boot开发的开源人力资源管理系统。此次披露的漏洞涉及身份认证绕过和权限控制缺陷，攻击者可能借此突破系统原有的身份与权限边界。

CVE-2026-108707的问题出现在ParamAspect组件中当请求缺少必要的AUTH-TOKEN请求头时，系统未能正确拒绝请求，导致未认证请求仍可能进入后续处理流程。而EmployeeAspect组件存在不当的角色赋权行为，可能使请求获得HR管理员权限。

另一项漏洞CVE-2026-108708则涉及权限校验和数据范围控制。普通员工登录后，也可能获得超出其正常权限范围的HR管理员权限，并访问企业范围内的员工数据。

根据目前披露的信息，两项漏洞均存在公开PoC脚本，且截至2026年10月11日，尚未发现上游项目发布正式修复补丁。

核心风险: 如果Wukong\_HRM部署在可被不可信网络访问的环境中，攻击者可能窃取员工薪资及个人信息、下载敏感附件，甚至修改或删除企业人事记录。

二、漏洞基本信息

三、漏洞技术分析

1. CVE-2026-108707: 身份认证绕过(CVSS 9.8)

该漏洞属于身份认证机制缺陷，问题主要涉及Wukong\_HRM的ParamAspect组件。

漏洞根因：

系统在处理请求时，需要通过AUTH-TOKEN请求头识别和验证用户身份。但在存在缺陷的代码路径中，如果请求未携带该请求头，系统未能正确终止请求处理流程，导致未认证请求可能被当作已通过认证的请求继续执行。

随后，EmployeeAspect组件可能向请求上下文注入HR管理员角色，使攻击者在没有合法账号或会话的情况下，获得本不应具备的管理权限。

攻击流程：

1. 攻击者向目标系统的HR管理API发送HTTP请求。
2. 请求未携带必要的AUTH-TOKEN请求头。
3. ParamAspect未能正确阻止未认证请求。
4. 请求继续进入后续业务处理流程。
5. EmployeeAspect的角色赋权缺陷可能使请求获得HR管理员权限。
6. 攻击者进一步访问敏感数据，或尝试修改、删除人事记录。

具体接口是否均可被利用，仍取决于实际部署版本、接口实现及相关代码路径。

影响：

• 未经授权读取员工薪资单、薪资历史及个人信息。
• 下载系统内的敏感附件。
• 访问原本仅对HR管理员开放的业务接口。
• 修改或删除企业人事记录，影响数据完整性与业务连续性。

2. CVE-2026-108708: 权限控制缺陷(CVSS 8.8)

CVE-2026-108708漏洞涉及EmployeeAspect组件及EmployeeUtil中的数据范围控制逻辑，属于不当访问控制问题。

漏洞根因：

• 角色授权不当: 系统可能将HR管理员角色赋予普通员工账号，导致用户权限超出其正常职责范围。
• 数据范围校验失效: EmployeeUtil相关数据范围检查可能返回全部员工数据，而不是依据当前用户的授权范围进行限制。

即使攻击者已经通过正常方式登录系统，也可能利用权限控制缺陷访问原本不允许其查看或操作的数据。

影响：

• 读取其他员工的薪资记录、银行卡信息及个人资料。
• 修改员工银行卡等敏感信息。
• 删除员工、部门及劳动合同等业务数据。
• 越权访问企业范围内的HR管理功能。

四、受影响范围

截至2026年10月11日，根据漏洞披露信息，上游主分支仍处于受影响提交，尚未公布正式修复提交、修复版本或厂商缓解方案。

五、漏洞利用情况

目前披露的信息显示，两项漏洞均存在公开PoC脚本，可能降低攻击者分析和复现漏洞的门槛。

需要区分的是：

• 公开PoC: 表明相关漏洞存在公开验证材料。
• 已确认在野利用: 目前提供的信息未确认存在真实攻击事件。
• CISA KEV收录情况: 所提供的信息称该漏洞未列入CISA已知被利用漏洞目录，但该状态可能发生变化。

因此，不能仅凭公开PoC就确认漏洞已经遭到大规模利用。不过，对于暴露在公网且存储敏感人事数据的系统，仍应按照高优先级安全事件进行排查和处置。

六、修复建议与缓解措施

1. 立即限制网络访问

• 避免将 Wukong\_HRM 直接暴露在公网。
• 通过VPN、可信网段或IP白名单限制访问来源。
• 将 HR 管理系统与普通办公网络、互联网及其他不必要的业务网段进行隔离。
• 对管理接口设置额外的访问控制策略。

2. 在网关或WAF层增加防护

针对未携带有效AUTH-TOKEN的请求，在反向代理、API网关或WAF层实施访问控制。

需要注意，单纯检查请求头是否存在并不能替代真正的身份认证。请求头可能被伪造，因此应结合服务端会话验证、令牌有效性校验和权限检查实施防护。

对于无法确认具体接口行为的环境，应先在测试环境验证规则，避免影响正常业务。

3. 排查异常访问日志

• HR管理API收到缺少AUTH-TOKEN请求头的访问。
• 未登录请求却成功返回敏感业务数据。
• 普通员工账号访问管理员专属接口。
• 同一来源短时间内集中查询多个员工的薪资、银行卡或个人资料。
• 出现异常的人事记录修改、合同删除、员工删除及附件下载行为。

需结合HTTP状态码、响应内容、用户身份、来源IP和操作时间综合判断，不能仅凭HTTP 200响应就认定利用成功。

4. 审查敏感数据完整性

对员工信息、薪资记录、银行卡信息、部门数据和合同记录开展安全审计，核实是否存在未经授权的读取、修改或删除行为。

如果发现异常，应及时保存相关日志和证据，评估是否涉及个人信息泄露，并按照组织内部的安全事件响应流程处理。

5. 跟踪上游修复进展

持续关注Wukong\_HRM上游代码仓库和漏洞公告。一旦发布修复版本，应在测试环境完成验证后尽快升级。

在官方补丁发布前，不建议仅通过修改前端权限或隐藏管理菜单来解决问题，因为这类措施无法替代后端的身份认证和授权校验。

七、总结

Wukong\_HRM此次披露的两项漏洞分别涉及身份认证绕过和权限控制失效。其中，CVE-2026-108707的CVSS评分达到9.8，攻击者可能在无需账号和密码的情况下获取HR管理员级别的访问权限；CVE-2026-108708则可能使普通员工越权访问企业范围内的人事数据。

由于系统可能保存员工薪资、银行卡及个人身份信息，一旦漏洞被成功利用，不仅可能造成敏感数据泄露，还可能引发人事记录被篡改、删除等业务风险。

在尚无已知官方补丁的情况下，建议相关组织立即限制系统网络暴露面，在网关层加强身份验证与访问控制，并全面审查异常API请求和敏感数据操作日志。