XWiki 雙漏洞：未經授權 XAR 匯入（CVE-2026-33137）與路徑穿越讀取任意檔案（GHSA-xq3r-2qv5-vqqm）
GitHub Security Advisories · 2026-05-26
XWiki Platform 於 2026 年 5 月 26 日發布兩項嚴重等級安全修補，涉及未經身分驗證即可執行 XAR 套件匯入，以及透過路徑穿越存取任意系統檔案。兩者均被評為 Critical，CVSS 分別為 9.3 與 9.x。
漏洞機制
CVE-2026-33137（GHSA-qrvh-r3f2-9h4r）：REST 端點 POST /wikis/{wikiName} 執行 XAR 匯入操作時，完全未進行任何身分驗證或授權檢查（CWE-862：缺少授權）。攻擊者只需對目標網路可達的 XWiki 實例發送包含惡意 XAR 套件的 POST 請求，即可建立或覆蓋 wiki 文件，無需任何憑證。CVSS 9.3，回報者為 GMO Cybersecurity by Ierae, Inc. 的 Sho Odagiri。
GHSA-xq3r-2qv5-vqqm：ssx 與 jsx 端點的 resources 參數在前置斜線的情況下，路徑穿越邏輯未正確過濾，允許低權限使用者讀取伺服器任意路徑的檔案，可能洩露設定檔、私鑰或作業系統敏感資料。
受影響版本
- 15.10.6 至 16.10.16
- 17.0.0-rc-1 至 17.4.8
- 17.5.0 至 17.10.2
- 18.0.0-rc-1 至 18.0.x
修補與緩解
已修補版本：16.10.17、17.4.9、17.10.3、18.1.0-rc-1。若無法立即升級，CVE-2026-33137 的臨時緩解措施為在 HTTP 反向代理層封鎖對 POST /wikis/{wikiName} 的外部請求。運行公開 XWiki 實例的組織應視為緊急修補項目。
Nezha 監控平台跨租戶 RCE（CVE-2026-46716）：CVSS 9.9，任意成員可對所有伺服器執行 Shell 命令
GitHub Security Advisories · 2026-05-26
Nezha 是廣泛使用的開源伺服器監控平台，CVE-2026-46716 揭露一個三層疊加的嚴重授權漏洞，允許任何已登入的普通成員（非管理員）在所有被監控伺服器上執行任意 Shell 命令，包括屬於其他租戶的機器。CVSS 9.9（Critical），Scope 標記為 Changed（S:C），反映此漏洞可跨越信任邊界。
漏洞機制
此漏洞源於三個缺陷的組合：
- 端點處理器錯誤：
POST /api/v1/cron使用commonHandler（僅檢查身分驗證）而非adminHandler（檢查角色），任何已登入的成員均可呼叫。 - 空陣列繞過許可權檢查：當請求的
Servers欄位為空陣列時，許可權驗證迴圈執行零次迭代，自動回傳true（vacuous-true 邏輯缺陷）。 - 全域廣播無邊界：
CronTrigger函式對全域 registry 中的所有伺服器廣播命令，不驗證發起者是否有權操作目標伺服器。
攻擊流程
攻擊者建立一個設定 Cover=CronCoverAll、Servers=[] 的 cron 任務，並填入任意 Shell 命令。任務建立後數秒內，命令即在所有連線的被監控主機上執行（通常以 root 身分）。透過 webhook 通知，攻擊者可接收命令輸出。若平台啟用 OAuth2 自助註冊，攻擊者可自行建立低權限帳號觸發此漏洞，無需社交工程或帳號盜用。
受影響版本與修補
受影響：Nezha >= 1.4.0，修補版本：1.14.15-0.20260517022419-d7526351cf97。建議立即升級，並審查 cron API 存取日誌以確認是否已遭利用。
原始來源：GHSA-99gv-2m7h-3hh9
GTK 系 PDF 閱讀器命令注入漏洞：多格式 PDF 即可觸發任意程式碼執行
LWN.net · 2026-05-21
安全研究員 Michael Catanzaro 揭露多個 GTK 系 PDF 閱讀器中的命令注入漏洞，受影響應用程式包括 Evince、Atril 與 Xreader。使用者開啟惡意 PDF 後，只需點擊文件中的連結，攻擊者即可取得命令執行能力。GTK 4 版本的 Papers 受影響程度較小，因 GTK 4 已移除關鍵攻擊路徑所需的 --gtk-module 旗標。
漏洞機制：多格式 PDF（Polyglot）
此攻擊利用一種特殊的多格式檔案（polyglot file）技巧：構造一個同時符合 PDF 規範與 ELF 執行格式的檔案。當使用者在受影響的 PDF 閱讀器中開啟此檔案，並點擊文件中的惡意連結時，連結觸發 --gtk-module 命令列旗標，將 PDF 檔案本身作為 GTK 模組載入並執行，其中的 ELF 程式碼隨即以使用者身分執行。
底層根本原因是在建構 Shell 命令時的字串拼接未正確引用（unquoted string concatenation）：包含特殊字元的檔案名稱在注入命令字串時未被轉義，使攻擊者可透過惡意構造的檔案名稱注入任意指令。
影響範圍與緩解
Evince 是 GNOME 桌面環境的預設 PDF 閱讀器，在 Linux 桌面發行版中極為普及。CVE 識別碼與修補版本資訊尚未在揭露時公開，使用者應關注各發行版（Fedora、Ubuntu、Debian）的安全更新通道，並在修補發布前避免開啟來自不受信任來源的 PDF 文件。
原始來源：LWN.net