CVE-2026-88061— career-ops 本地仪表盘 远程代码执行漏洞
一分钟漏洞结论
影响对象
santifer career-ops
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
career-ops 是一款开源的 AI 辅助求职与应用管理工具。在 0.8.0 版本之前，其本地 Web 仪表盘（位于 目录）暴露了可执行命令的 路由以及用户文件写入接口，但并未验证请求来源，也未将客户端限制在回环地址（loopback）。这意味着，当仪表盘正在运行时，恶意网页可以通过跨源 localhost 请求发起攻击；而如果仪表盘绑定到了非回环地址，则可能接收到来自本地网络的直接请求。这两种路径都允许未认证的用户以仪表盘进程的运行用户身份执行命令。不过，通过 npm 安装的场景不受影响，因为 目录已被排除在
影响版本矩阵 1
| 厂商 | 产品 | 版本范围 | 状态 |
|---|---|---|---|
| santifer | career-ops | < 0.8.0 |
affected |
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-88061 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
career-ops: Local dashboard API accepted cross-origin and non-loopback requests, allowing unauthenticated command execution
来源: CVE Program / CVE List V5
Vulnerability Description
career-ops is an open-source AI-assisted job search and application management tool. Prior to 0.8.0, the career-ops local web dashboard web/ exposed command-spawning and user-file-writing /api routes without validating request origin or restricting clients to loopback addresses. A malicious page in another browser tab could send cross-origin localhost requests while the dashboard was running, and a dashboard bound beyond loopback could receive direct requests from the local network. Both paths allowed unauthenticated command execution as the dashboard user, but npm installations were unaffected because web/ is excluded from the published package. This issue is fixed in version 0.8.0.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:N/VI:N/VA:N/SC:H/SI:H/SA:H
来源: CVE Program / CVE List V5
Vulnerability Type
跨站请求伪造(CSRF)
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| santifer | career-ops | < 0.8.0 | - |
|
二、漏洞 CVE-2026-88061 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-88061 的情报信息
请登录查看更多情报信息。
CVE-2026-88061 补丁与修复 (1)
CVE-2026-88061 厂商安全公告 (1)
CVE-2026-88061 厂商页面 (1)
-
🔗 Release web: v0.8.0 · career-ops-hq/career-ops · GitHub x_refsource_MISC
IV. Related Vulnerabilities
V. Comments for CVE-2026-88061
暂无评论