CVE-2026-32613

总结

Spinnaker 是一个开源的多云持续交付平台。Echo 与其他一些服务一样，使用 SPeL（Spring 表达式语言）来处理信息——特别是围绕预期工件（expected artifacts）的信息。在 2026.1.0、2026.0.1、2025.4.2 和 2025.3.2 之前的版本中，与 orca 不同，它并未将该上下文限制为一组受信任的类，而是允许完全的 JVM 访问。这使得用户能够使用任意 Java 类，从而深度访问系统。这进而使得调用命令、访问文件等操作成为可能。版本 2026.1.0、2026.0.1、2025.4.2 和 2025.3.2 包含一个补丁。作为临时解决方案，可完全禁用 echo。

• spinnaker-poc漏洞利用

  CVE-2026-32604 和 CVE-2026-32613 的 PoC，这些漏洞允许在 Spinnaker 中进行认证后远程代码执行（RCE）和凭据窃取。