CVE-2026-62344— Wanderer 活动协议端点未授权访问漏洞
一分钟漏洞结论
影响对象
open-wanderer wanderer
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
Wanderer 是一个用于保存和分享冒险经历的自托管路线数据库。在 0.19.3 版本之前，未认证的 和 端点会调用 和 函数，直接返回完整的路线和评论记录，而未应用 PocketBase 集合视图规则。能够枚举或猜测记录 ID 的攻击者可以获取私有的路线名称、描述、GPS 坐标、GPX 文件 URL、照片 URL 以及评论内容。该问题已在 0.19.3 版本中修复。
可能的 ATT&CK 技术 1 AI
T1040 · Network Sniffing影响版本矩阵 1
| 厂商 | 产品 | 版本范围 | 状态 |
|---|---|---|---|
| open-wanderer | wanderer | < 0.19.3 |
affected |
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-62344 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Wanderer: Unauthenticated Access to Private Trails and Comments via ActivityPub Endpoints
来源: CVE Program / CVE List V5
Vulnerability Description
Wanderer is a self-hosted trail database for saving and sharing adventures. Prior to 0.19.3, the unauthenticated GET /activitypub/trail/{id} and GET /activitypub/comment/{id} endpoints call ActivitypubTrail() and ActivitypubComment() to return full trail and comment records without applying the PocketBase collection view rules. An attacker who can enumerate or guess record IDs can retrieve private trail names, descriptions, GPS coordinates, GPX file URLs, photo URLs, and comments. This issue is fixed in version 0.19.3.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
来源: CVE Program / CVE List V5
Vulnerability Type
通过用户控制密钥绕过授权机制
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| open-wanderer | wanderer | < 0.19.3 | - |
|
二、漏洞 CVE-2026-62344 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-62344 的情报信息
请登录查看更多情报信息。
CVE-2026-62344 其他参考 (4)
-
https://github.com/open-wanderer/wanderer/pull/1093 x_refsource_MISC
-
https://github.com/open-wanderer/wanderer/releases/tag/v0.19.3 x_refsource_MISC
同批安全公告 · open-wanderer · 2026-11-06 · 共 4 条
| CVE-2026-71495 | 10.0 CRITICAL | Wanderer 未验证 URL 导致 SSRF 漏洞 |
| CVE-2026-62346 | 7.6 HIGH | Wanderer 存储型跨站脚本漏洞 |
| CVE-2026-62345 | 7.6 HIGH | 地图标记未清理图标存储型跨站脚本漏洞 |