展开抓取的正文（本地存档，已排版）
摘要
以下版本的 CISA Malcolm 受到影响：
- Malcolm
CVSS
厂商
设备
漏洞
v3 8.8
CISA
CISA Malcolm
不当中和网页生成期间的输入（'跨站脚本攻击'），不当中和操作系统命令中使用的特殊元素（'操作系统命令注入'），不当限制路径名到受限目录（'路径遍历'），服务器端请求伪造 (SSRF)，通过欺骗绕过身份验证，缺少授权，关键功能缺少身份验证，不正确的授权，使用默认凭证，不当证书验证，重定向到不受信任的网站 ('开放重定向')，依赖易受攻击的第三方组件，使用计算努力不足的密码哈希
背景
- 关键基础设施部门： 能源、信息技术、水和废水
- 部署国家/地区： 全球
- 公司总部所在地： 美国
漏洞
CVE-2026-90443
Web 界面将请求 URL 的一部分反映到脚本上下文和超链接属性中，且未进行充分编码，并且无需身份验证即可访问。这允许未经身份验证的网络攻击者构造一个链接，当用户访问该链接时，会在受影响应用程序的上下文中执行任意脚本，并将用户的浏览器重定向到任意外部网站。成功利用可能允许攻击者在应用程序内以受损用户的会话权限行事。
受影响产品
CISA Malcolm
厂商：
CISA
产品版本：
CISA Malcolm <v26.06.0
产品状态：
known_affected
相关 CWE： CWE-79 不当中和网页生成期间的输入 ('跨站脚本攻击')
指标
| CVSS 版本 | 基础分数 | 基础严重性 | 向量字符串 |
|---|---|---|---|
| 3.1 | 5.4 | MEDIUM | CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N |
| 4.0 | 5.3 | MEDIUM | CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N |
CVE-2026-90444
需要有效凭据的文件传输接口接受攻击者控制的文件名，而不限制 shell 元字符。自动化进程随后使用上传文件的名称构建并运行系统命令，允许已身份验证的攻击者嵌入并以该进程的权限执行任意操作系统命令。这允许攻击者读取和修改摄入的日志数据，并可能为进一步在内部网络中移动提供立足点。
受影响产品
CISA Malcolm
厂商：
CISA
产品版本：
CISA Malcolm <v26.06.0
产品状态：
known_affected
相关 CWE： CWE-78 不当中和操作系统命令中使用的特殊元素 ('操作系统命令注入')
指标
| CVSS 版本 | 基础分数 | 基础严重性 | 向量字符串 |
|---|---|---|---|
| 3.1 | 8.8 | HIGH | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
| 4.0 | 8.7 | HIGH | CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N |
CVE-2026-90445
接受来自已身份验证用户的文件上传的接口会提取上传归档的内容，而不验证提取的文件路径是否保持在目标目录内。这允许已身份验证的攻击者构造一个归档，其条目遍历到目标目录之外，导致提取过程以该进程的权限将文件写入任意位置。这可能允许攻击者向系统存储的数据注入伪造记录或篡改应用程序配置。
受影响产品
CISA Malcolm
厂商：
CISA
产品版本：
CISA Malcolm <v26.06.0
产品状态：
known_affected
相关 CWE： CWE-22 不当限制路径名到受限目录 ('路径遍历')
指标
| CVSS 版本 | 基础分数 | 基础严重性 | 向量字符串 |
|---|---|---|---|
| 3.1 | 6.5 | MEDIUM | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N |
| 4.0 | 7.1 | HIGH | CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N |
CVE-2026-90446
应用程序编程接口端点接受用户提供的值，并将其直接插值到对底层搜索和分析数据存储器的后端请求路径中，而不限制其内容。这允许已身份验证的攻击者替换任意的后端路径，导致应用程序使用自身的高级服务凭据针对未预期的内部端点。这可能允许攻击者枚举或读取后端数据存储器中的内部配置和管理数据，否则这些数据是受限的。
受影响产品
CISA Malcolm
厂商：
CISA
产品版本：
CISA Malcolm <v26.06.0
产品状态：
known_affected
相关 CWE： CWE-918 服务端请求伪造 (SSRF)
指标
CVSS 版本
基础分数
基础严重程度
向量字符串
3.1
4.3
MEDIUM
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
4.0
5.3
MEDIUM
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N
CVE-2026-90447
路由规则根据客户端提供的请求头的值（而非客户端无法控制的任何属性）在针对同一下游服务的两种不同身份验证机制之间进行选择。拥有共享服务凭据的已认证用户可以设置此头，以绕过主要的基于角色的授权检查并访问替代路径的固定、高级角色。这允许了解共享凭据的低权限已认证攻击者执行保留给更高权限角色的操作。
受影响产品
CISA Malcolm
厂商：
CISA
产品版本：
CISA Malcolm <v26.06.0
产品状态：
known_affected
相关 CWE： CWE-290 通过欺骗绕过身份验证
指标
CVSS 版本
基础分数
基础严重程度
向量字符串
3.1
6.5
MEDIUM
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N
4.0
7.1
HIGH
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N
CVE-2026-90448
旨在仅暴露对存储数据代理的只读访问的部署模式，在没有限制允许哪些请求方法的情况下代理一组应用程序编程接口 (API) 路由。其中一个路由接受创建或覆盖存储记录（包括攻击者选择的标识符）的请求，使用的是应用程序自身的高级后端凭据。这允许在旨在只读的部署中的已认证用户伪造或覆盖本不应在该部署模式下修改的存储记录。
受影响产品
CISA Malcolm
厂商：
CISA
产品版本：
CISA Malcolm <v26.06.0
产品状态：
known_affected
相关 CWE： CWE-862 缺少授权
指标
CVSS 版本
基础分数
基础严重程度
向量字符串
3.1
6.5
MEDIUM
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N
4.0
7.1
HIGH
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N
CVE-2026-90449
当配置特定身份验证模式时，反向代理直接将请求转发给捆绑的第三方管理界面，而不会首先应用网关自身的身份验证要求。对此管理界面的所有访问控制（该界面管理用于门控部署中其他服务的凭据存储）完全委托给该第三方界面自身的登录机制。该捆绑界面中的任何身份验证弱点都会危及保护部署其余部分的凭据存储。
受影响产品
CISA Malcolm
厂商：
CISA
产品版本：
CISA Malcolm <v26.06.0
产品状态：
known_affected
相关 CWE： CWE-306 关键功能缺少身份验证
指标
CVSS 版本
基础分数
基础严重程度
向量字符串
3.1
6.5
MEDIUM
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N
4.0
6.9
MEDIUM
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N
CVE-2026-90450
应用程序的角色授权查找默认在请求处理程序名称不在其角色要求表中时授予访问权限，而不是默认拒绝。任何未在此表中显式注册的请求处理程序均可被任何已认证用户访问，无论其分配的角色如何，并且任何新添加的处理程序默认会失败开放（fail-open），直到显式添加到该表中。
受影响产品
CISA Malcolm
厂商：
CISA
产品版本：
CISA Malcolm <v26.06.0
产品状态：
known_affected
相关 CWE： CWE-863 不正确的授权
指标
CVSS 版本
基础分数
基础严重程度
向量字符串
3.1
4.3
MEDIUM
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
4.0
5.3
MEDIUM
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N
CVE-2026-90451
一个示例环境配置文件附带了一个固定的、公开的密钥值，该值用于为捆绑的包分析组件签名身份验证 Cookie。如果部署将此示例文件复制到活动配置中，而未运行重新生成该值的设置例程，则会使用已知的默认值，这使得了解默认值的攻击者能够为该组件伪造有效的身份验证 Cookie。
受影响产品
CISA Malcolm
供应商：
CISA
产品版本：
CISA Malcolm <v26.06.0
产品状态：
known_affected
相关 CWE： CWE-1392 使用默认凭据
指标
CVSS 版本
基础分数
基础严重性
向量字符串
3.1
5.9
MEDIUM
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:H/A:N
4.0
8.2
HIGH
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N
CVE-2026-90452
从反向代理到身份提供者服务的请求（用于令牌发现、检查和凭据交换）未验证身份提供者的服务器证书。位于代理和身份提供者之间网络路径上的攻击者可以冒充身份提供者，并发布被部署接受的伪造身份验证令牌。
受影响产品
CISA Malcolm
供应商：
CISA
产品版本：
CISA Malcolm <v26.06.0
产品状态：
known_affected
相关 CWE： CWE-295 证书验证不当
指标
CVSS 版本
基础分数
基础严重性
向量字符串
3.1
5.3
MEDIUM
CVSS:3.1/AV:A/AC:H/PR:N/UI:N/S:U/C:N/I:H/A:N
4.0
6
MEDIUM
CVSS:4.0/AV:A/AC:H/AT:N/PR:N/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N
CVE-2026-90453
文件上传处理器将经过身份验证的客户端浏览器重定向到直接从该请求的 Referer 头中获取的 URL，而不对该 URL 与应用程序自身的源进行验证。这允许经过身份验证的攻击者构造请求，在用户完成上传后，导致其他用户的浏览器被重定向到任意外部目的地。
受影响产品
CISA Malcolm
供应商：
CISA
产品版本：
CISA Malcolm <v26.06.0
产品状态：
known_affected
相关 CWE： CWE-601 URL 重定向到不受信任的网站 ('Open Redirect')
指标
CVSS 版本
基础分数
基础严重性
向量字符串
3.1
3.5
LOW
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:N/I:L/A:N
4.0
5.1
MEDIUM
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:P/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N
CVE-2026-90454
一种旨在仅暴露捆绑的包分析组件接口的只读访问的部署模式，通过模式拒绝了一组具有写入能力的路由，但该模式遗漏了修改存储会话记录附加标签的路由，且代理配置允许这些路由使用的请求方法。这允许在旨在只读的部署中的经过身份验证的用户添加或删除存储会话记录的标签。
受影响产品
CISA Malcolm
供应商：
CISA
产品版本：
CISA Malcolm <v26.06.0
产品状态：
known_affected
相关 CWE： CWE-862 缺少授权
指标
CVSS 版本
基础分数
基础严重性
向量字符串
3.1
4.3
MEDIUM
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N
4.0
5.3
MEDIUM
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N
CVE-2026-90455
之前的一次更新将捆绑的 HTTP 客户端库提升到了修复已知漏洞的版本，但随后被回滚，重新引入了早期的、存在漏洞的版本到日志处理组件中。该组件中使用该库的唯一代码路径在初始化时向单个固定的、受信任的供应商 URL 发出请求，并且不通过该库处理攻击者控制的输入，从而限制了在此上下文中重新引入该版本的实际可利用性。
受影响产品
CISA Malcolm
供应商：
CISA
产品版本：
CISA Malcolm <v26.06.0
产品状态：
known_affected
相关 CWE： CWE-1395 依赖存在漏洞的第三方组件
指标
CVSS 版本
基础分数
基础严重性
向量字符串
3.1
3.7
LOW
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N
4.0
6.3
MEDIUM
CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N
CVE-2026-90456
捆绑的库存管理组件附带一个示例环境配置文件，其中包含固定的、公开的已知管理员密码。如果部署时将该示例文件复制到活动配置中，而未运行重新生成凭据的设置例程，则会将该组件的管理界面暴露给任何知晓默认值的人。
受影响产品
CISA Malcolm
供应商：
CISA
产品版本：
CISA Malcolm <v26.06.0
产品状态：
known_affected
相关 CWE： CWE-1392 使用默认凭据
指标
CVSS 版本
基础分数
基础严重性
向量字符串
3.1
8.1
HIGH
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
4.0
9.2
CRITICAL
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
CVE-2026-90457
用于支持一个认证路径的凭据存储库中的管理员密码是使用一种相对较弱且快速的算法进行哈希处理的，而包含该哈希的文件则以允许任何本地用户读取的权限写入。这与在另一个认证路径上对同一密码使用的单独、更强的哈希算法不一致。能够读取此文件的实体（包括本地用户或访问配置备份的实体）可能通过离线计算恢复底层密码，从而危及接受该凭据的所有路径的管理员凭据。
受影响产品
CISA Malcolm
供应商：
CISA
产品版本：
CISA Malcolm <v26.06.0
产品状态：
known_affected
相关 CWE： CWE-916 使用计算努力不足的密码哈希
指标
CVSS 版本
基础分数
基础严重性
向量字符串
3.1
6.2
MEDIUM
CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
4.0
6.9
MEDIUM
CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N
致谢
- CISA 报告了这些漏洞。
法律声明和使用条款
本产品受本通知 (https://www.cisa.gov/notification) 和本隐私及使用政策 (https://www.cisa.gov/privacy-policy) 约束提供。
最佳实践建议
CISA 建议用户采取防御措施，以最大限度地降低这些漏洞被利用的风险。
- 最小化所有控制系统设备和/或系统的网络暴露，确保它们无法从互联网访问。
- 将控制系统网络和远程设备置于防火墙之后，并将其与业务网络隔离。
- 当需要远程访问时，使用更安全的方法，例如虚拟专用网络 (VPN)，并认识到 VPN 可能存在漏洞，应更新至可用的最新版本。同时认识到 VPN 的安全性仅取决于所连接的设备。
CISA 提醒组织在部署防御措施之前进行适当的冲击分析和风险评估。
CISA 还在 cisa.gov/ics 上的 ICS 网页上提供了控制系统安全最佳实践部分。提供了几份详细介绍网络防御最佳实践的 CISA 产品供阅读和下载，包括《利用纵深防御策略提高工业控制系统网络安全》。
CISA 鼓励组织实施推荐的网络安全战略，以主动防御 ICS 资产。
额外的缓解指南和最佳实践可在 cisa.gov/ics 上的 ICS 网页的技术信息论文 ICS-TIP-12-146-01B--针对网络入侵的检测和缓解策略中公开获取。
观察到疑似恶意活动的组织应遵循既定的内部程序，并将发现报告给 CISA 以进行跟踪并与其他事件进行关联。
CISA 还建议用户采取以下措施保护自己免受社会工程攻击：
- 不要点击非请求电子邮件消息中的网页链接或打开附件。
- 参考《识别和避免电子邮件诈骗》以获取有关避免电子邮件诈骗的更多信息。
- 参考《避免社会工程和钓鱼攻击》以获取有关社会工程攻击的更多信息。
目前尚未向 CISA 报告任何专门针对这些漏洞的已知公开利用情况。
修订历史
- 初始发布日期： 2026-09-11
日期
修订版
摘要
2026-09-11
1
首次发布
2026-10-01
2
更新 A - 包含对 Web 版本的自引用