CVE-2026-28518 描述了 OpenViking 0.2.1 及更早版本中的一个路径遍历漏洞。此漏洞允许攻击者通过构造恶意的 ZIP 归档文件，在导入过程中覆盖或创建任意文件，并利用导入过程的权限。该漏洞的 CVSS 评分为 7.8（高），影响范围广泛。已在 commit 46b3e76 中修复。
攻击者可以利用此路径遍历漏洞，在 OpenViking 的导入过程中，将恶意文件写入到系统中的任意位置。通过精心构造 ZIP 归档文件，攻击者可以在成员名称中使用路径遍历序列、绝对路径或驱动器前缀，从而覆盖或创建任意文件。这可能导致系统配置被篡改、敏感数据泄露，甚至可能导致远程代码执行，具体取决于被覆盖文件的权限和内容。如果攻击者能够覆盖关键系统文件，则可能完全控制受影响的系统。
目前尚未公开发现针对此漏洞的公开利用代码（PoC），但由于其路径遍历的特性，该漏洞具有较高的利用风险。该漏洞已于 2026 年 3 月 3 日公开披露。建议密切关注安全社区的动态，以获取最新的漏洞信息和利用情况。
Organizations and individuals utilizing OpenViking for package management or deployment are at risk. This includes environments where .ovpack files are imported from untrusted sources or where the OpenViking process runs with elevated privileges. Shared hosting environments where multiple users share the same OpenViking instance are particularly vulnerable.
disclosure
漏洞利用状态
EPSS
0.01% (0% 百分位)
CISA SSVC
最有效的缓解措施是立即升级到 OpenViking 的修复版本，commit 46b3e76e28b9b3eee73693720c9ec48820228b72。如果无法立即升级，可以考虑限制 OpenViking 导入文件的来源，并对导入过程进行严格的访问控制。此外，监控 OpenViking 的日志文件，查找任何异常的文件写入活动，可以帮助及早发现攻击。在升级后，请验证导入功能是否正常工作，并检查系统文件是否被篡改。
Actualice OpenViking a la versión posterior al commit 46b3e76e28b9b3eee73693720c9ec48820228b72. Esto corrige la vulnerabilidad de path traversal al importar archivos .ovpack. Asegúrese de obtener la actualización desde la fuente oficial de Volcengine.
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2026-28518 是 OpenViking 0.2.1 及更早版本中的一个安全漏洞，允许攻击者通过构造恶意 ZIP 文件，在导入过程中覆盖或创建任意文件。
如果您正在使用 OpenViking 0.2.1 或更早版本，则可能受到此漏洞的影响。请立即升级到修复版本。
请升级到 OpenViking 的修复版本，commit 46b3e76e28b9b3eee73693720c9ec48820228b72。
目前尚未公开发现针对此漏洞的公开利用代码，但由于其路径遍历的特性，该漏洞具有较高的利用风险。
请查阅 OpenViking 的官方安全公告或 GitHub 仓库，以获取有关此漏洞的更多信息和修复指南。
CVSS 向量