针对由 MITRE CVE Program 分配的四个 CVE ID 漏洞（CVE 请求记录于 2026-06-20）的公开技术披露与概念验证复现步骤。
| CVE ID | 产品 | 漏洞 | CWE | CVSS 3.1 | 需要认证 |
|---|---|---|---|---|---|
| CVE-2026-78829 | Dromara MaxKey 4.x | OAuth 流程中通过 redirect_uri 触发的反射型 XSS → 管理员会话/JWT 窃取 | CWE-79 | 8.2 高危 | 否（构造链接） |
| CVE-2026-78830 | mingSoft MCMS 6.1.1 | 通过未认证的 /file/upload 触发的存储型 XSS | CWE-79 | 6.1 中危 | 否 |
| CVE-2026-78831 | OpenAuth.Net ≤ 8.3.4 | 通过 /api/dynamic/Invoke 未认证任意修改用户密码 | CWE-306 | 9.1 严重 | 否 |
| CVE-2026-78832 | OpenAuth.Net ≤ 8.3.4 | 通过 /api/dynamic/GetList 未认证泄露敏感信息 | CWE-200 | 8.6 高危 | 否 |
每个文件夹包含：
README.md — 完整公告：官方 CVE 描述、根本原因分析、逐步复现（HTTP 请求/响应对及 curl 单行命令）、影响、修复建议、参考资料和时间线。CVE-2026-XXXXX.json — 采用 CVE JSON 5 格式 的漏洞记录，结构与官方 cvelistV5 仓库一致，由报告者准备以供参考。CVE-2026-78831 与 CVE-2026-78832 具有相同的根本原因 — Dynamic API（/api/dynamic/*）不执行任何身份认证/授权 — 二者可组合成一条完整的未认证接管链：
GetList（CVE-2026-78832）导出 SysUser → 所有明文凭据；Invoke（CVE-2026-78831）修改管理员密码（或直接使用导出的密码登录）；/api/Files/Upload 端点（另行报告，尚未分配 CVE ID）可实现任意文件上传，具备 WebShell/RCE 潜力。在同一项研究中，还在 OpenAuth.Net 中发现了另外两个未认证问题，但在本次分配中未获得 CVE ID：
/api/dynamic/Delete 未认证删除数据（CWE-285，包括删除审计日志以进行反取证）— 中危；/api/Files/Upload 未认证不受限制的文件上传（CWE-434，具备 RCE 潜力）— 严重。这些内容记录在本地研究报告中，可能会单独提交至 CVE Program。
所有复现均在受控实验室环境中针对私有测试实例或授权目标进行。这些报告中捕获响应中的敏感值（密码、令牌、密钥）均已脱敏。这些披露仅出于防御目的发布 — 以帮助受影响产品的用户评估并缓解风险。
| 日期 | 事件 |
|---|---|
| 2026-06-20 | 向 MITRE CVE Program 记录 CVE 请求 |
| 2026-06-24 | 完成 OpenAuth.Net 实验室验证 |
| 2026-06 | MITRE 分配 CVE-2026-78829 ~ CVE-2026-78832 |
| 2026-10-30 | 在 GitHub 上公开技术披露 |
由 CloudFutureSec（@CloudFutureSec）发现并报告。