2026-11-13 02:53:14 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

11月11日漏洞：2083条，5条都不用账号

原创

niuko
niuko

Ncko

2026年11月12日 09:50
安徽

去阅读

11 月 11 日，NVD 里 published 落在这一天（北京时间 00:00 到 23:59）的记录 2083 条。当天是微软月度补丁日，MSRC 一家 1094 条。

9.0 以上 96 条，10.0 六条。按 CVSS 向量算，96 条里有 65 条标着 PR:N，也就是手里不需要一个现成账号。

11 月 11 日简报：2083 条里挑出 5 条，全部不用已有账号。Adobe Connect 12.12 及更早有一条路径遍历，CVSS 10.0，未认证读服务器上的任意文件；亚信 BSS 9.2.0 到 9.2.40 的管理接口 /bss/sysmgmt/api/ 不验身份，同一区间的 JWT 也不验签，9.2.41 修；AVideo 6.5 到 29.7.1 把社交登录的昵称当用户名，改个昵称就能登进任意账号，管理员也算；AskAny 插件 2.2.0 之前不检查聊天附件，访客身份能传 PHP；React Server Components 三个打包器包在 19.3.1 之前存在反序列化 RCE，触发条件窄，装了 RSC 的项目都得升。

五条属于五个类别：路径遍历、未授权、认证绕过、文件上传、反序列化。分开看是五个产品，合起来看是同一件事的不同写法：身份或者路径，只要有一处交给请求内容自己说，剩下的检查就都成了摆设。

PART 01

2083 条，先看构成


来源	条数	说明
Microsoft	1094	月度补丁日，一次灌入
Google	158	Chrome 等
Adobe	110	Connect、Experience Manager 为主
Intel	103	含 TDX 迁移相关多条
Patchstack	77	WordPress 生态
GitHub	76	开源仓库安全公告

按 CWE 粗分：


类别	条数
内存破坏（堆溢出、UAF、越界读写）	886
权限与认证（862/863/287/306 等）	217
跨站脚本	100
竞态条件	47
路径遍历	41
代码注入与反序列化（94/95/502）	30
SQL 注入	29
信息泄露	24
其他（DoS、配置错误、逻辑缺陷）	709

内存破坏占了大头，微软和 Intel 的条目最多。真正从公网一条请求就能打的，集中在下面五条。

机制示意：五条各自的入口与绕过位置。依据厂商公告与 GitHub 安全公告重绘，不是抓包截图。

PART 02

10.0 分的那条：不登录，读服务器上的文件

Adobe Connect 12.12 及更早，Windows 版。公告 APSB26-191，11 月 10 日发布，优先级 2。

CVE-2026-121351，CWE-22 路径遍历，CVSS 3.1 给到 10.0，向量是 AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N。PR:N 和 UI:N 放在一起，意思是发起请求不用账号，也不用谁点一下链接。

Adobe 对危害的写法是 arbitrary file system read。路径拼接没有限制在应用目录内，跳出去之后能读到什么，取决于服务进程的权限。Connect 是装在 Windows 上的会议系统，配置、日志、备份通常和 Web 目录在同一块盘，读到配置文件，往往就有下一跳的凭据。

同一份公告里还有四条 10.0：两条 SSRF（CVE-2026-121356、CVE-2026-121889）、一条越权（CVE-2026-121352）、一条 CRLF 注入（CVE-2026-121353）。路径遍历在公告里出现四次，其中两次是可执行代码的影响级别，说明这条攻击面不止一个入口。

公开时间：Adobe 11 月 10 日发布公告，NVD 在北京时间 11 月 11 日 06:18 写入记录。

修复版本按分支走：12.12.a、12.11.i、12.10.f、12.9.a、12.8.a。升不了的话，至少把 Web 进程对应用目录之外的可读范围收掉，再把 Connect 的访问面收到内网。

复现情况：Adobe 写明没有发现在野利用，公开渠道也没有 PoC。公告只给了类别、评分和受影响版本，接口路径和参数都没写。

没给模板。端点、参数、要读的文件路径一个都没公开，硬写一个 GET 只能打到登录页，证明不了遍历。

PART 03

管理接口挂在公网上，口令那一栏是空的

亚信 BSS 9.2.0 到 9.2.40。同一天两条，都 9.8。

CVE-2026-125297，/bss/sysmgmt/api/ 这个管理接口不校验身份。远程直接发请求，可以建一个带管理员权限的账号，也可以接管已有账号，其余管理动作同样能调。CWE-306 加 CWE-862，缺认证，也缺授权。

CVE-2026-125298，同一套系统不校验 JWT 的签名。自己拼一个格式正确的 token，签名位置随便填，服务端照收，拿它执行特权操作。CWE-347。

两条修在 9.2.41。

危害不在接口本身。BSS 是计费和业务支撑系统，账号体系连着开通、变更、计费、报表。管理口被打开之后，能改的是业务数据，不只是系统配置。125298 更省事，连账号都不用建，签一个 token 就进去了。

公开时间：NVD 在北京时间 11 月 11 日 06:18 写入，GitHub 公告 GHSA-6gw7-6qw6-6pq6 在 08:32 跟进。CVE 由 VulnCheck 提交。

复现情况：公告写了受影响路径、影响和修复版本，没有给请求体、参数和返回样本。

没给模板。公开的信息只到 /bss/sysmgmt/api/ 这一层，下面有哪些资源、要带什么参数都不知道，一个前缀级的 GET 判断不了未授权。

PART 04

把社交账号的昵称改成管理员的名字

AVideo 6.5 到 29.7.1。CVE-2026-126542，CWE-290，CVSS 3.1 9.8。

AVideo 是开源的视频站程序，登录走 Hybridauth。回调在 objects/login.json.php 和 plugin/MobileManager/oauth2.php 里处理，前者第 133 到 145 行，后者第 90 到 102 行。

问题出在取用户信息那一步。代码把社交账号的 displayName 当成用户名去查本地账户，邮箱拿不到的时候，本该做的匹配校验被跳过。

于是攻击者用自己的 X、Facebook、Yahoo 或 LinkedIn 账号，把昵称改成目标的用户名，授权时拒绝提供邮箱。回调回到站点，服务端按昵称匹配到目标，直接建会话。管理员账号一样适用，不需要密码，也不需要目标做任何操作。

前提是站点开了社交登录，并且配好了对应 provider 的 app\_id 和 app\_secret。没开社交登录的站点不受影响。

公开时间：VulnCheck 发布公告，GitHub GHSA-r23m-jf94-h653 在北京时间 11 月 11 日 11:34 发布，NVD 09:17 写入。

修复落在 commit d34ccf23b37a127a68478d66ac00b450b5788bad。公告列的影响区间到 29.7.1，没有另给版本号，按这个 commit 之后的构建更新。短期先把不用的社交登录关掉。

复现情况：公告给了两个文件的命中行号，没有放请求样本。复现要自己注册一个社交账号、改昵称、走完授权，属于多轮交互。

没给模板。整条链路是 OAuth 授权码往返，加一次第三方账号资料的修改，单个 HTTP 请求走不完。

PART 05

聊天框成了上传点

AskAny WordPress 插件 2.2.0 之前。CVE-2026-121497，CWE-434，9.8。

插件处理聊天消息附件时，不检查扩展名，也不检查文件内容，直接信浏览器报上来的 MIME。站点打开访客附件之后，未登录的人就能把 PHP 文件当图片传上去，落到 Web 可访问的目录，请求一下就执行。

影响是整站。WordPress 插件拿到 webshell，数据库、后台、同服务器上的其他站点都在射程内，插件本身的功能多少反而不重要了。

公开时间：WPScan 11 月 9 日公开，NVD 在北京时间 11 月 11 日 06:17 写入记录。研究人是 Ryan Fabella，WPScan 标注已经人工验证。

修复版本 2.2.0。没开访客附件的站点打不到，但插件还是建议升。

复现情况：WPScan 把 PoC 压到 12 月 9 日公布，现在页面上只有文字描述。

没给模板。上传路由和字段名都没公开，要等 12 月 9 日才有对照样本。

PART 06

React 的反序列化：条件很窄，面很广

React 19 的四个版本段。CVE-2026-126187，CWE-502，CVSS 4.0 9.5。

受影响的是三个 RSC 打包器包：react-server-dom-webpack、react-server-dom-parcel、react-server-dom-turbopack。区间是 19.0.0 到 19.0.8、19.1.0 到 19.1.9、19.2.0 到 19.2.8、19.3.0，修复版本 19.0.9、19.1.10、19.2.9、19.3.1。

触发条件公告写得很直白：只影响响应里同时传输多个 typed array 和一个攻击者可控值的极少数情况。前提是应用用了 RSC，也就是框架、打包器或打包器插件支持 React Server Components。纯客户端渲染、不用 RSC 的应用不在影响范围。

CVSS 4.0 向量里有一个 AT:P，攻击前提存在，这是它拿 9.5 而不是更高的原因。但 PR:N、UI:N 没变，payload 从网络进来，不需要账号，也不需要谁点链接。

危害是远程代码执行，落在 Node 服务进程里。前端库的 RCE 不好利用，可一旦成型，位置在服务端，能碰到的是环境变量、数据库连接和同进程内的会话。

公开时间：GitHub GHSA-xqc2-xf4c-x3h3 在北京时间 11 月 11 日 06:44 发布，NVD 07:17 写入记录。修复 commit 有五个，分布在四个分支。

复现情况：公告没有给 payload 结构，公开渠道没有 PoC。

没给模板。要构造 RSC 能接受的 Flight 流，还要凑出多个 typed array 加可控值的组合，模板判断不了这种条件。

PART 07

怎么查，怎么修


组件	修复版本	先做什么
Adobe Connect 12.12 及更早	12.12.a / 12.11.i / 12.10.f / 12.9.a / 12.8.a	打补丁，收掉目录外读权限
亚信 BSS 9.2.0–9.2.40	9.2.41	升级，管理口移出公网，轮换 JWT 密钥
AVideo 6.5–29.7.1	commit d34ccf23 之后	升级，先关停不用的社交登录
AskAny < 2.2.0	2.2.0	升级，关掉访客附件
React RSC 19.x	19.0.9 / 19.1.10 / 19.2.9 / 19.3.1	升级三个 dom 包

今天先做三件：Adobe Connect 打补丁；亚信 BSS 的 /bss/sysmgmt/api/ 从公网摘掉；AskAny 关掉访客附件，再排升级窗口。AVideo 和 React 走正常升级流程，前者顺手确认社交登录还在不在用。

日志侧看这几处：

— Adobe Connect：/ 下非常规路径返回 200，路径里带 ../ 或 %2e%2e

— 亚信 BSS：/bss/sysmgmt/api/ 收到不带 Authorization 头的请求，或来源不在白名单

— AVideo：login.json.php、oauth2.php 的回调里 displayName 命中已有用户名，但 email 为空

— AskAny：上传目录新增 .php，或者 Content-Type 是 image/\* 而扩展名不是

— React：RSC 请求（Content-Type: text/x-component）里出现异常长的 typed array 段

PART 08

资料与说明

五条都没给模板，原因分别写在各自小节：Adobe 没公开端点；亚信只公开了路径前缀；AVideo 要走 OAuth 往返；AskAny 的 PoC 12 月 9 日才放；React 要构造特定的 Flight 流。这几种情况硬写出来，扫到的都是误报，不如不写。

数据取自 NVD 2.0 API 在 2026-11-10T16:00Z 到 2026-11-11T15:59Z 区间的返回结果，共 2083 条，统计脚本在 tools/ 下。版本号、评分、修复版本来自 Adobe APSB26-191、GHSA-6gw7-6qw6-6pq6、GHSA-r23m-jf94-h653、WPScan e6aed436、GHSA-xqc2-xf4c-x3h3。

同一天还有几条在名单里但没展开。Staggs WordPress 插件代码注入（CVE-2026-78287，10.0）在 Patchstack 收录，利用细节要订阅；Ivanti EPM 核心 SQL 注入未认证 RCE（CVE-2026-121653，9.8）需要 2024 SU8 之前的版本，公告在 Ivanti 门户；Basel Post Types 插件认证绕过（CVE-2026-89324，9.8）是一处 defined() 少写引号导致回落到硬编码 salt，思路和 AVideo 那条同类；Red Hat Quay（CVE-2026-123710）和 OpenObserve（CVE-2026-126065）都是 9.8 的认证问题，篇幅有限没展开。