CVE-2026-33533 是 Glances 4.5.3 之前版本中存在的信息泄露漏洞。该漏洞源于 Glances XML-RPC 服务器对 CORS 策略处理不当，允许未经授权的访问，可能导致攻击者获取敏感的系统监控数据。受影响的版本包括 Glances 4.5.3 之前的版本。此漏洞已在 Glances 4.5.3 版本中修复。
Glances 中的 CVE-2026-33533 漏洞影响使用 XML-RPC 服务器（通过 glances -s 或 glances --server 启用）的安装。服务器对所有 HTTP 请求都以 Access-Control-Allow-Origin: * 响应，从而允许跨域请求 (CORS)。由于缺乏 Content-Type 标头验证，攻击者可以通过恶意网页发送包含有效 XML-RPC 负载的 CORS “简单” 请求（Content-Type: text/plain 的 POST）。浏览器在未进行预检检查的情况下发送此请求，服务器处理 XML 消息体并返回完整的系统监控数据集，从而暴露敏感信息。
攻击者可以创建一个恶意网页，当具有访问运行 Glances 且启用了 XML-RPC 服务器的系统的用户访问时，该网页会发送包含 XML-RPC 负载的 POST 请求，旨在提取系统信息。此攻击的成功取决于攻击者诱导用户访问恶意网页的能力以及浏览器是否允许 CORS 请求。在 Glances 用于监控关键系统的环境中，此漏洞尤其令人担忧，因为敏感信息的暴露可能导致严重后果。
Systems running Glances versions 4.5.1 and earlier, particularly those exposed to untrusted networks or websites, are at risk. Shared hosting environments where multiple users share the same Glances instance are also particularly vulnerable, as an attacker could potentially exploit the vulnerability through a malicious website hosted on the same server.
• python / system monitoring:
ps aux | grep glances• python / system monitoring: Check for Glances versions <= 4.5.1 using glances --version.
• generic web: Monitor access logs for POST requests to the Glances XML-RPC endpoint with Content-Type: text/plain.
disclosure
漏洞利用状态
EPSS
0.03% (9% 百分位)
CISA SSVC
主要缓解措施是将 Glances 更新到 4.5.3 或更高版本。此版本通过在处理 XML-RPC 请求之前验证 Content-Type 标头来修复漏洞。如果无法立即更新，建议禁用 XML-RPC 服务器 (glances -s --no-rpc) 或通过防火墙限制对服务器的访问，限制可以访问服务器的 IP 地址。此外，审查和加强浏览器安全策略以降低跨域攻击风险至关重要。
Actualice Glances a la versión 4.5.3 o superior. Esta versión corrige la vulnerabilidad de Cross-Origin System Information Disclosure al validar correctamente el encabezado Content-Type y evitar la divulgación de información sensible del sistema.
漏洞分析和关键警报直接发送到您的邮箱。
XML-RPC 是一种用于通过网络执行远程函数调用的协议。Glances 使用 XML-RPC 来允许访问其监控数据。
它允许任何网站访问服务器资源，从而打开了跨域攻击的途径。
这是一个 HTTP 请求，它满足某些标准（GET、POST、HEAD、PUT、DELETE、OPTIONS 方法；有限的 Content-Type）并且不需要预检请求。
如果您使用启用了 XML-RPC 服务器的 Glances（glances -s 或 glances --server），则很可能受到影响。请检查您使用的 Glances 版本。
您可以使用防火墙限制对 XML-RPC 服务器的访问，只允许授权的 IP 地址。
上传你的 requirements.txt 文件，立即知道是否受影响。