CVE-2026-78674：多款 WSO2 產品的 BPMN 系統 REST API 允許遠端執行任意命令
CVE-2026-78674 - Remote Code Execution via BPMN System REST APIs in Multiple WSO2 Products Permits Arbitrary Command Execution
CVE-2026-78674 允許已驗證使用者透過 WSO2 BPMN 系統 REST API 執行任意指令，執行許可權等同於產品執行時帳號。
此漏洞已被評為 CVSS 3.1 HIGH，可造成嚴重的系統破壞。
此漏洞可讓已認證使用者在多款 WSO2 產品上以執行時帳號許可權執行任意命令，威脅範圍取決於帳號許可權，需及時更新與許可權最小化。
BPMN 系統 REST API 未能充分驗證輸入引數，允許已驗證使用者提交精心設計的請求，可能導致在伺服器上執行任意指令。 已驗證使用者可利用此漏洞，以產品執行時帳號的許可權執行任意指令。潛在損害範圍取決於該帳號所授予的許可權。
影響
受影響產品
以下產品受到 CVE-2026-78674 漏洞影響。
即使 cvefeed.io 已知受影響產品的確切版本，該資訊亦未在下表中呈現。
| ID | Vendor | Product | Action |
|---|---|---|---|
| 1 | Wso2 | enterprise_integrator | |
| 2 | Wso2 | business_process_server | |
| 3 | Wso2 | enterprise_integrator_bps_profile |
Common Vulnerability Scoring System（CVSS）是一套標準化框架，用於評估軟體與系統漏洞的嚴重程度。 我們會從各來源收集並顯示每個 CVE 的 CVSS 分數。
| Score | Version | Severity | Vector | Exploitability Score | Impact Score | Source |
|---|---|---|---|---|---|---|
| CVSS 3.1 | HIGH | ed10eef1-636d-4fbe-9993-6890dfa878f8 | ||||
| CVSS 3.1 | HIGH | MITRE-CVE |
透過驗證所有輸入並限制使用者許可權來修復命令注入。
- 徹底驗證所有輸入引數。
- 限制執行時帳號的許可權。
- 套用供應商提供的安全更新。
- 審查 API 存取控制。
我們掃描 GitHub 倉庫以偵測新的概念驗證漏洞。以下清單為已在 GitHub 發布的公開漏洞與概念驗證（按最近更新排序）。
由於潛在效能問題，結果僅限於前 15 個倉庫。
以下清單為文章中提及 CVE-2026-78674 漏洞的新聞。
EPSS 是每日估算在接下來 30 天內觀測到利用活動的機率。以下圖表顯示該漏洞的 EPSS 分數歷史。