CVE-2026-7005
中已发布
WIT SynApps Runtime 1.4.11 通过控制器引导实现的浏览器中介 SSRF
- 已发布
- 2026年10月30日
- 已更新
- 2026年10月30日
- 分配 CNA
- VulnCheck
- 观察到的证据
- 2026年10月30日
初级CVSS
5.3/ 10中
cvelist · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N0.1%
低 · 未来 30 天
- 百分位
- 2.1%
- 型号日期
- 2026年11月2日
EPSS 是统计估计，而不是确定性或影响衡量标准。将其与 CVSS、KEV 状态、暴露程度和您的环境相结合。
总结
WIT SynApps Runtime 至 1.4.11 版本存在一个经由浏览器介导的跨源请求伪造漏洞，攻击者可在控制器引导过程中提供任意目标地址，导致受害者的浏览器向攻击者指定的主机在 /easy/GUI/Skins/Default/SiteLogo 和 /easy/GUI/Skins/Default/Identity 等路径上发起发现请求。攻击者可利用受害者浏览器的可达性探测回环地址、本地主机名或仅限内部网络的主机，并针对 REDY 实例发起注册流程，从而通过一条受认可的应用程序路径跨越 IT/OT 分段边界。
来源
- ExploitsPoC
原始的CVE、漏洞利用PoC和安全公告，包含详细的漏洞链、权限提升和容器逃逸技术，用于渗透测试和研究。
负责任的使用
仅在您拥有或有权测试的系统上使用漏洞信息。 Kitploit 链接到公共研究元数据，并且不存储漏洞代码或恶意负载。