CVE-2026-63116— Deepstream Valve权限绕过未授权写记录
一分钟漏洞结论
影响对象
deepstreamIO deepstream.io
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
Deepstream 是一个服务器，允许客户端和后端服务大规模地同步数据、发送消息以及执行 RPC 调用。在 10.1.0 到 10.1.1 版本中，src/services/permission/valve/rules-map.ts 文件未在 RULES_MAP 中包含 RECORD_ACTION.PATCH_MULTI。当已认证的用户发送 PATCH_MULTI 记录操作，且 permission.type 为 config 时，getRulesForMessage 函数会返回一个空的规则规范（null rul
可能的 ATT&CK 技术 1 AI
T1078 · Valid Accounts影响版本矩阵 1
| 厂商 | 产品 | 版本范围 | 状态 |
|---|---|---|---|
| deepstreamIO | deepstream.io | >= 10.1.0, < 10.1.1 |
affected |
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-63116 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
deepstream: PATCH_MULTI action bypasses Valve permission system allowing unauthorized record writes
来源: CVE Program / CVE List V5
Vulnerability Description
deepstream is a server that allows clients and backend services to sync data, send messages and make rpcs at scale. From 10.1.0 until 10.1.1, src/services/permission/valve/rules-map.ts omits RECORD_ACTION.PATCH_MULTI from RULES_MAP. When an authenticated user sends a PATCH_MULTI record operation while permission.type is config, getRulesForMessage returns a null rule specification and ConfigPermission.canPerformAction treats the missing specification as an unconditional allow instead of applying RULE_TYPES.WRITE. Any authenticated user can therefore modify arbitrary protected records, corrupt application state, or cause service disruption; deployments using the default permission type none already allow all operations and are not additionally affected. This issue is fixed in version 10.1.1.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
来源: CVE Program / CVE List V5
Vulnerability Type
授权机制缺失
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| deepstreamIO | deepstream.io | >= 10.1.0, < 10.1.1 | - |
|
二、漏洞 CVE-2026-63116 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-63116 的情报信息
请登录查看更多情报信息。
CVE-2026-63116 补丁与修复 (1)
CVE-2026-63116 其他参考 (1)
-
🔗 Release Release v10.1.1 · deepstreamIO/deepstream.io · GitHub x_refsource_MISC
IV. Related Vulnerabilities
Same product: deepstream.io
Same vendor: deepstreamIO
V. Comments for CVE-2026-63116
暂无评论