CVE-2026-66088：system.execute 未受限制命令執行漏洞
CVE-2026-66088 - Unrestricted Command Execution via system.execute
openEQUELLA 在 2026.1 之前的版本存在一個未受限制的命令執行漏洞（CVE-2026-66088），攻擊者可利用 system.execute() 執行任意 OS 指令，許可權為服務帳戶。
此漏洞允許攻擊者以服務帳戶許可權執行任意指令，提醒使用者立即升級至 2026.1 或限制指令碼許可權，以防止系統被遠端控制。
在 openEQUELLA 2026.1 之前，指令碼引擎可用的 system.execute() 函式會執行提供的作業系統指令，未經驗證或允許執行檔的白名單。能夠建立或編輯指令碼的使用者可以利用它以 openEQUELLA 服務帳號的許可權執行任意指令。
影響
受影響產品
以下產品受CVE-2026-66088
漏洞影響。
即使cvefeed.io知道受影響產品的確切版本，該資訊也未在下表中呈現。
尚未記錄受影響產品
Common Vulnerability Scoring System（CVSS）是一套標準化框架 用於評估軟體與系統漏洞的嚴重程度。 我們收集並顯示各來源的 CVSS 分數，針對每個 CVE。
| 分數 | 版本 | 嚴重度 | 向量 | 可利用性分數 | 影響分數 | 來源 |
|---|---|---|---|---|---|---|
| CVSS 4.0 | 致命 | 9c1820ae-fb77-4810-a8aa-ca46e7474d2f |
更新 openEQUELLA 至 2026.1 或更高版本以修復命令注入漏洞。
- 更新 openEQUELLA 至 2026.1 或更新版本。
- 限制指令碼建立/編輯僅限受信任使用者。
- 檢查現有指令碼是否含有惡意指令。
我們掃描 GitHub 倉庫以偵測新的概念驗證（PoC）利用。以下清單為已在 GitHub 釋出的公開利用與概念驗證，按最近更新時間排序。
由於潛在的效能問題，結果僅限於前 15 個倉庫。
以下清單為在文章中提及CVE-2026-66088漏洞的新聞。
EPSS 是每日估算在未來 30 天內觀測到利用活動的機率。以下圖表顯示該漏洞的 EPSS 分數歷史。