NocoBase plugin-ai 曝授权绕过漏洞
热点事件持续更新
NocoBase plugin-ai 曝授权绕过漏洞
1 篇报道1 个报道来源2 小时前更新
先了解这件事
AI 综述
NocoBase plugin-ai 2.1.0 至 2.2.41 版本存在授权绕过漏洞（CVE-2026-125397，CVSS 7.1）。据 cve.now 披露，已认证用户可通过在角色派生过滤器中覆盖用户名，访问未分配给其角色的 AI 员工。 该漏洞位于 getAccessibleAIEmployee()，攻击者需为已认证用户，并通过 dispatch-sub-agent-task 或 get-ai-employee 工具触发。 cve.now 列出的信息中未给出修复版本，升级目标尚未确认。
AI 根据报道生成 · 2 小时前更新
报道时间线
沿着报道，了解事件的不同侧面。
11月10日
- cve.nowCVE-2026-125397：NocoBase plugin-ai 2.1.0 至 2.2.41 存在子代理用户名覆盖授权绕过漏洞
NocoBase plugin-ai 2.1.0 至 2.2.41 存在授权绕过漏洞（CVSS 7.1），已认证用户可通过覆盖角色派生过滤器中的用户名，访问未分配给其角色的 AI 员工。
本事件热度走势
还没有足够的连续观测数据，暂不绘制趋势。