目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

目标: 1000 元 · 已筹: 1359 元

100%
请我们喝杯咖啡

CVE-2026-48860— Erlang/OTP 安全漏洞

一分钟漏洞结论

影响对象
Erlang OTP
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。

Erlang/OTP是Erlang/OTP开源的一个JavaScript编写的处理处理异常的库。该库可以捕捉node.js内置API引发的异常。 Erlang/OTP ssl 11.0至11.7.2之前版本、11.6.0.2版本和11.2.12.9版本存在安全漏洞，该漏洞源于inet_tls_dist模块中check_ip函数调用inet:sockname/1而非inet:peername/1获取对等方IP地址，导致LAN允许列表检查始终成功，可能导致持有CA签名TLS证书的攻击者绕过LAN限制获得完全E

CVSS 7.5 · High EPSS 0.21% · P10

影响版本矩阵 3

厂商产品 版本范围状态
Erlang OTP 26.0< * affected
11.0< * affected
7a08c5507862a7011568506d0c17b1fdef30bee4< 0209a6df65d605552b378273027b3968b35f26b4 affected
获取后续新漏洞提醒 登录后订阅

一、 漏洞 CVE-2026-48860 基础信息

漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗

尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。

Vulnerability Title
Distribution-over-TLS LAN allowlist silently bypassed due to sockname/peername confusion in inet_tls_dist
来源: CVE Program / CVE List V5
Vulnerability Description
Reliance on IP Address for Authentication vulnerability in Erlang/OTP ssl (inet_tls_dist module) allows unauthenticated bypass of the distribution-over-TLS LAN allowlist. The inet_tls_dist:check_ip/1 function, which enforces a LAN allowlist for Erlang distribution over TLS, calls inet:sockname/1 instead of inet:peername/1 to obtain the peer's IP address. Because inet:sockname/1 returns the local socket address, both the local IP and the supposed peer IP resolve to the same value, causing the subnet mask comparison to always succeed regardless of the actual remote address. Any holder of a CA-signed TLS certificate can therefore bypass the LAN restriction and gain full Erlang distribution access to the node, including rpc:call/4 and code:load_binary/3. This vulnerability is associated with program file lib/ssl/src/inet_tls_dist.erl. This issue affects OTP from OTP 26.0 before OTP 27.3.4.13, OTP 28.5.0.2, and OTP 29.0.2, corresponding to ssl from 11.0 before 11.2.12.9, 11.6.0.2, and 11.7.2.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:4.0/AV:A/AC:H/AT:P/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
来源: CVE Program / CVE List V5
Vulnerability Type
使用错误要素进行比较
来源: CVE Program / CVE List V5
Vulnerability Title
Erlang/OTP 安全漏洞
来源: 中国国家信息安全漏洞库 CNNVD
Vulnerability Description
Erlang/OTP是Erlang/OTP开源的一个JavaScript编写的处理处理异常的库。该库可以捕捉node.js内置API引发的异常。 Erlang/OTP ssl 11.0至11.7.2之前版本、11.6.0.2版本和11.2.12.9版本存在安全漏洞，该漏洞源于inet_tls_dist模块中check_ip函数调用inet:sockname/1而非inet:peername/1获取对等方IP地址，导致LAN允许列表检查始终成功，可能导致持有CA签名TLS证书的攻击者绕过LAN限制获得完全E
来源: 中国国家信息安全漏洞库 CNNVD
CVSS Information
N/A
来源: 中国国家信息安全漏洞库 CNNVD
Vulnerability Type
N/A
来源: 中国国家信息安全漏洞库 CNNVD

受影响产品

厂商 产品 影响版本 CPE 订阅
Erlang OTP 26.0 ~ * cpe:2.3:a:erlang:erlang\/otp:*:*:*:*:*:*:*:*
Erlang OTP 11.0 ~ * cpe:2.3:a:erlang:erlang\/otp:*:*:*:*:*:*:*:*
Erlang OTP 7a08c5507862a7011568506d0c17b1fdef30bee4 ~ 0209a6df65d605552b378273027b3968b35f26b4 cpe:2.3:a:erlang:erlang\/otp:*:*:*:*:*:*:*:*

二、漏洞 CVE-2026-48860 的公开POC

# POC 描述 源链接 神龙链接
AI 生成 POC 高级

未找到公开 POC。

登录以生成 AI POC

三、漏洞 CVE-2026-48860 的情报信息

请登录查看更多情报信息。

CVE-2026-48860 补丁与修复 (1)

CVE-2026-48860 厂商安全公告 (3)

同批安全公告 · Erlang · 2026-06-10 · 共 7 条

CVE-2026-49759 8.8 HIGH Erlang/OTP 安全漏洞
CVE-2026-48856 7.1 HIGH Erlang/OTP 输入验证错误漏洞
CVE-2026-49760 6.9 MEDIUM Erlang/OTP 安全漏洞
CVE-2026-48859 6.3 MEDIUM Erlang/OTP 安全漏洞
CVE-2026-48858 6.3 MEDIUM Erlang/OTP 代码问题漏洞
CVE-2026-48855 2.3 LOW Erlang/OTP 信息泄露漏洞

IV. Related Vulnerabilities

Same product: OTP
Same vendor: Erlang
Same weakness: CWE-1025

V. Comments for CVE-2026-48860

暂无评论

发表评论