VSee Clinic IDOR及SFTP凭证泄露漏洞公告(CVE-2026-13380/13381)

漏洞概述 SRA 发现了 VSee Clinic 中的多个漏洞，这些漏洞可能导致未经授权的文件访问和删除，以及 SFTP 凭证的泄露。 影响范围 VSee Clinic 从 7.1.26 到 7.1.26.1 VSee Clinic API 从 1.3.0 到 1.3.0.1 修复方案 更新 VSee Clinic 到 7.1.26.1 或更高版本 更新 VSee Clinic API 到 1.3.0.1 或更高版本 漏洞详情 CVE-2026-13380: VSee Clinic 和 API 不安全的直接对象引用在文件 API 中允许未经授权的文件访问和删除 描述: VSee Clinic 7.1.26 和 API 1.3.0 包含一个不安全的直接对象引用（IDOR）漏洞，位于 端点。经过身份验证的攻击者可以操纵 请求参数来枚举、检索和删除属于其他用户的文件。 CVSS 评分: 8.7 (高) CVSS 向量: CVE-2026-13381: VSee Clinic 和 API 在未认证的 HTTP 响应中暴露明文 SFTP 凭证 描述: VSee Clinic 7.1.26 和 VSee Clinic API 1.3.0 在三个未认证端点的 HTTP 响应中暴露明文 SFTP 凭证。这些凭证仅在应用程序内配置了 SFTP 连接时才会出现在这些响应中。无需身份验证即可检索这些凭证。未认证的远程攻击者可以观察到这些 HTTP 响应，并在配置了 SFTP 的实例上获取凭证并使用它们访问关联的 SFTP 服务器。 CVSS 评分: 9.0 (严重) CVSS 向量: MITRE CWE 弱点枚举 CVE-2026-13380 - CWE-281: 插入敏感信息到发送的数据中 - CWE-312: 敏感信息的明文存储 CVE-2026-13381 - CWE-639: 通过用户控制的键绕过授权 来源 这些漏洞由 Chris Jones、Drew Young 和 Maguire Younes 发现，作为 Security Risk Advisors 的研究工作的一部分。 时间线 2026年6月16日 - SRA 向供应商提交漏洞 2026年6月24日 - 供应商发布修复 2026年7月20日 - SRA 发布 CVE 和公告

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

VSee Clinic IDOR及SFTP凭证泄露漏洞公告(CVE-2026-13380/13381)

目标达成感谢每一位支持者 — 我们达成了 100% 目标！