平台
go
组件
github.com/tobychui/zoraxy
修复版本
3.3.3
3.3.2
CVE-2026-33529 描述了 zoraxy 配置导入功能中的远程代码执行 (RCE) 漏洞。该漏洞允许经过身份验证的用户通过构造恶意的配置导入文件，在服务器上写入任意文件，从而可能导致远程代码执行。该漏洞影响 zoraxy 版本低于 3.3.2 的用户。建议立即升级至 3.3.2 版本以修复此安全问题。
攻击者可以利用此漏洞通过构造恶意的 ZIP 压缩包，在 zoraxy 服务器上写入任意文件。由于配置导入功能允许用户创建插件，攻击者可以通过写入包含恶意代码的插件文件，从而在服务器上执行任意命令。这可能导致服务器被完全控制，敏感数据泄露，甚至被用于发起进一步的攻击。该漏洞的潜在影响包括数据泄露、系统破坏和供应链攻击，类似于其他文件写入漏洞的利用方式。
该漏洞已公开披露，目前尚无公开的利用代码，但由于其远程代码执行的严重性，存在被利用的风险。该漏洞尚未被添加到 CISA KEV 目录。建议密切关注安全社区的动态，并及时采取缓解措施。
Organizations utilizing Zoraxy for configuration management, particularly those with custom plugins or integrations, are at risk. Shared hosting environments where multiple users have authenticated access to the Zoraxy instance are also particularly vulnerable, as a compromised user account could be leveraged to exploit this vulnerability.
• linux / server:
find /opt/zoraxy/config -type f -name '*passwd*'• linux / server:
journalctl -u zoraxy -g "path traversal"• generic web:
curl -I http://your-zoraxy-instance/api/conf/import | grep -i 'content-type: multipart/form-data'disclosure
漏洞利用状态
EPSS
0.05% (17% 百分位)
CISA SSVC
最有效的缓解措施是立即将 zoraxy 升级至 3.3.2 或更高版本。如果升级不可行，可以考虑以下临时缓解措施：限制配置导入功能的使用，仅允许受信任的用户进行配置导入；严格审查导入的配置文件的内容，确保不包含任何恶意代码；实施文件访问控制，限制对配置目录的写入权限。升级后，验证配置导入功能是否正常工作，并检查系统日志是否存在异常活动。
升级 Zoraxy 到 3.3.2 或更高版本。此版本修复了允许远程代码执行的路径遍历漏洞。可以通过从官方仓库下载新版本并替换现有文件来执行升级。
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2026-33529 是 zoraxy 配置导入功能中的一个远程代码执行漏洞，允许攻击者通过构造恶意的配置导入文件在服务器上执行任意代码。
如果您正在使用 zoraxy 的 3.3.2 之前的版本，则可能受到此漏洞的影响。请立即升级至最新版本。
最有效的修复方法是升级至 zoraxy 3.3.2 或更高版本。如果无法升级，请考虑临时缓解措施，如限制配置导入功能的使用。
目前尚无公开的利用代码，但由于漏洞的严重性，存在被利用的风险。请密切关注安全动态。
请访问 zoraxy 的官方网站或 GitHub 仓库，查找有关 CVE-2026-33529 的安全公告。
CVSS 向量
上传你的 go.mod 文件，立即知道是否受影响。