CVE-2026-5463：pymetasploit3命令注入漏洞（高危）

pymetasploit3 (版本号至1.0.6) 中的 CVE-2026-5463 存在一个重大的风险，原因是 console.runmodulewith_output() 函数中的命令注入漏洞。这使得攻击者可以将换行符注入到模块选项中，例如 RHOSTS，从而破坏了预期的命令结构。因此，Metasploit 控制台可能会执行意外的命令，从而可能导致任意命令执行以及 Metasploit 会话的操作。CVSS 分数 8.6 表明风险等级很高，尤其是在使用 Metasploit 进行渗透测试或安全评估的环境中。缺乏可用的修复程序会加剧这种情况，需要立即采取预防措施。

Organizations and individuals utilizing pymetasploit3 for penetration testing, vulnerability assessment, or security automation are at risk. This includes security professionals, red team operators, and developers integrating pymetasploit3 into custom security tools. Those relying on older, unpatched versions of pymetasploit3 are particularly vulnerable.

• python: Inspect pymetasploit3 module code for instances of console.runmodulewith_output() where user-supplied input (e.g., RHOSTS) is not properly sanitized. • python: Monitor Python logs for unusual command execution patterns or errors related to module execution. • generic web: If pymetasploit3 is integrated into a web application, monitor access logs for requests containing suspicious characters or patterns in module parameters. • generic web: Review web application firewall (WAF) logs for command injection attempts targeting pymetasploit3 endpoints.

1. 2026-04-03Disclosure

   disclosure

1. 已保留2026-04-03
2. 发布日期2026-04-03
3. 修改日期2026-04-06
4. EPSS 更新日期2026-04-10

由于没有为 CVE-2026-5463 提供官方修复程序，因此缓解措施侧重于降低风险。主要建议是，在发布更新之前避免使用 pymetasploit3。如果必须使用 pymetasploit3，请严格限制对 Metasploit 控制台的访问，仅限于授权和可信用户。此外，请彻底监控控制台活动，以查找异常或可疑的命令。严格验证用户输入，尤其是 RHOSTS 等模块选项的输入，有助于防止命令注入。如果可能，请考虑迁移到 Metasploit Framework 的更新版本，因为它们可能不会受到此漏洞的影响。