目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

目标: 1000 元 · 已筹: 1336 元

100%
请我们喝杯咖啡

CVE-2026-86242— 动态链接构建的未认证远程代码执行漏洞

一分钟漏洞结论

影响对象
maximhq Bifrost
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。

Bifrost 中 HTTP 传输层在 2.0.0 版本之前，当管理认证被禁用时（即默认配置 ），会在 的未认证 POST 请求中接受一个已启用的自定义插件，且该插件路径为 HTTP URL。共享对象加载器会将带有 前缀的路径视为下载 URL，将响应体写入一个临时的 文件，并将其传递给 Go 的 函数。成功加载后，可选的 函数会立即以 Bifrost 进程的用户身份运行，并使用提供的配置。 在厂商要求用于自定义 Go 插件的、文档中记载的动态链接构建（ 或未设置静态链接标志）下， 预期会成功，因此这构成了未认证的远

CVSS 8.1 · High EPSS 0.62% · P47

影响版本矩阵 1

厂商产品 版本范围状态
maximhq Bifrost < 2.0.0 affected
获取后续新漏洞提醒 登录后订阅

一、 漏洞 CVE-2026-86242 基础信息

漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗

尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。

Vulnerability Title
Unauthenticated RCE via Custom Plugin HTTP Path on Dynamically Linked Builds
来源: CVE Program / CVE List V5
Vulnerability Description
Bifrost HTTP transport before 2.0.0 accepts an enabled custom plugin whose path is an HTTP URL through unauthenticated POST /api/plugins when management authentication is disabled (the default, governance.auth_config.is_enabled=false). The shared-object loader treats an http-prefixed path as a download URL, writes the body to a temporary .so, and passes it to Go's plugin.Open. After a successful open, optional Init runs immediately with the supplied config as the Bifrost process user. On documented dynamically linked builds (DYNAMIC=1 / no static-link flags), which the vendor requires for custom Go plugins, plugin.Open is expected to succeed and this is unauthenticated remote code execution. On the published statically linked Docker image, plugin.Open fails with Dynamic loading not supported, so that build class is only server-side request forgery. Attack complexity is High because the attacker cannot force RCE on the default static image and a loadable plugin must match the host Go version, OS, architecture, and linkage. The 1.6.x HTTP transport line through 1.6.11 does not contain the fix.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
来源: CVE Program / CVE List V5
Vulnerability Type
对生成代码的控制不恰当(代码注入)
来源: CVE Program / CVE List V5

受影响产品

厂商 产品 影响版本 CPE 订阅
maximhq Bifrost 0 ~ 2.0.0 -

二、漏洞 CVE-2026-86242 的公开POC

# POC 描述 源链接 神龙链接
AI 生成 POC 高级

未找到公开 POC。

登录以生成 AI POC

三、漏洞 CVE-2026-86242 的情报信息

请登录查看更多情报信息。

CVE-2026-86242 补丁与修复 (2)

CVE-2026-86242 厂商安全公告 (1)

CVE-2026-86242 概念验证 (1)

IV. Related Vulnerabilities

Same product: Bifrost
Same vendor: maximhq
Same weakness: CWE-94

V. Comments for CVE-2026-86242

暂无评论

发表评论