CVE-2026-33746 是 Convoy Panel 中的一个严重漏洞，影响了 3.9.0-beta 及更高版本，但不包括 4.5.1 版本。该漏洞源于 JWTService::decode() 方法在验证 JWT 令牌时未验证其加密签名，允许攻击者伪造或篡改令牌有效载荷。通过升级到 4.5.1 版本，可以有效修复此安全问题。
此漏洞的潜在影响非常严重。攻击者可以利用该缺陷伪造 JWT 令牌，从而冒充任何用户，包括管理员。他们可以访问受保护的资源，执行未经授权的操作，甚至完全控制 Convoy Panel。攻击者可以修改 user_uuid 声明，从而绕过身份验证机制，获得对系统的非法访问。由于 Convoy Panel 通常用于管理 KVM 服务器，因此该漏洞可能导致敏感数据泄露、服务器劫持，甚至整个托管环境的破坏。该漏洞的严重程度与 Log4Shell 类似，因为它允许攻击者通过简单的令牌篡改来获得系统控制权。
CVE-2026-33746 已被添加到 CISA KEV 目录中，表明其具有较高的利用概率。目前已知存在公开的 PoC，这增加了漏洞被利用的风险。由于该漏洞的严重性和易利用性，预计将成为攻击者的目标。该漏洞于 2026 年 4 月 2 日公开披露。
Hosting businesses utilizing Convoy Panel to manage their KVM infrastructure are at significant risk. Specifically, deployments using older versions (3.9.0-beta through 4.5.0) are vulnerable. Shared hosting environments where multiple users share a single Convoy Panel instance are particularly exposed, as a compromise of one user's account could lead to broader system access.
• linux / server:
journalctl -u convoy-panel | grep -i "JWT decode failed"• generic web:
curl -I <convoy_panel_url>/api/v1/users/me | grep -i "Authorization: Bearer"Inspect the Authorization header for malformed or suspicious JWT tokens. • generic web: Review Convoy Panel access logs for unusual user agent strings or IP addresses attempting to access sensitive endpoints.
disclosure
kev
漏洞利用状态
EPSS
0.04% (13% 百分位)
CISA SSVC
最有效的缓解措施是立即将 Convoy Panel 升级到 4.5.1 或更高版本。如果升级会导致系统中断，可以考虑回滚到之前的稳定版本，并实施额外的安全控制措施。此外，建议实施 Web 应用防火墙 (WAF) 或代理服务器，以检测和阻止可疑的 JWT 令牌请求。可以配置 WAF 规则，以验证 JWT 令牌的签名和有效载荷，并拒绝无效的令牌。虽然没有特定的 Sigma 或 YARA 模式，但可以监控 JWT 令牌的有效载荷，以检测异常的 user_uuid 值。
将 Convoy Panel 更新到 4.5.1 或更高版本。此版本修复了 JWT 签名验证绕过漏洞。更新可确保正确验证 JWT 令牌，从而防止以任意用户身份进行身份验证。
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2026-33746 是 Convoy Panel 3.9.0-beta 及更高版本（但不包括 4.5.1）中的一个严重漏洞，由于 JWT 令牌的签名未验证，攻击者可以伪造或篡改令牌有效载荷。
如果您正在使用 Convoy Panel 3.9.0-beta 及更高版本，但不包括 4.5.1，则您可能受到此漏洞的影响。请立即升级。
通过将 Convoy Panel 升级到 4.5.1 或更高版本来修复此漏洞。
目前已知存在公开的 PoC，这表明该漏洞可能正在被积极利用。
请访问 Convoy Panel 的官方网站或 GitHub 仓库，查找有关 CVE-2026-33746 的安全公告。
CVSS 向量
上传你的 go.mod 文件，立即知道是否受影响。