CVE-2026-5749 描述了 Fullstep V5 中注册流程的访问控制缺陷。攻击者可以利用此漏洞获取有效的 JWT Token，从而未经授权访问受保护的 API 资源，可能导致敏感信息的泄露。此漏洞影响 Fullstep V5 的 5.0.0 至 5.30.07 版本，目前建议采取缓解措施或升级到已修复的版本。
该漏洞允许未经身份验证的攻击者通过操纵注册流程获取有效的 JWT Token。一旦获得 Token，攻击者就可以冒充合法用户，访问 Fullstep V5 API 提供的各种功能和数据。这可能导致敏感信息的泄露，例如用户数据、配置信息或其他关键业务数据。攻击者可能利用这些信息进行进一步的攻击，例如数据篡改、服务中断或权限提升。由于 JWT Token 的有效期通常较长，攻击者可以在一段时间内持续利用该漏洞。
该漏洞已于 2026 年 4 月 22 日公开披露。目前尚未观察到大规模的公开利用，但由于该漏洞允许未经身份验证的攻击者获取 Token，存在被恶意利用的风险。建议密切关注安全社区的动态，及时获取最新的威胁情报。
Organizations utilizing Fullstep V5 in production environments, particularly those relying on its API for critical business functions, are at risk. Systems with weak API authentication policies or those lacking robust monitoring for suspicious JWT activity are especially vulnerable. Shared hosting environments where multiple users share the same Fullstep instance could also be affected.
disclosure
漏洞利用状态
EPSS
0.07% (20% 百分位)
CISA SSVC
由于目前尚未提供官方修复版本，建议采取以下缓解措施。首先，实施严格的 API 访问控制策略，限制 Token 的使用范围和权限。其次，对注册流程进行强化，增加验证步骤，防止未经授权的 Token 生成。可以考虑使用 Web 应用防火墙 (WAF) 或代理服务器来检测和阻止恶意请求。此外，定期审查和更新 Token 的生成和验证机制，确保其安全性。最后，监控 API 日志，及时发现和响应异常活动。
升级到 Fullstep 的最新可用版本以缓解此漏洞。请查阅 Fullstep 官方文档以获取具体的升级说明，并充分了解其对您环境的影响。实施更严格的访问控制来保护 API 资源。
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2026-5749 是 Fullstep V5 注册流程中发现的访问控制缺陷，允许未经身份验证的用户获取有效 JWT Token，从而访问受保护的 API 资源。
如果您正在使用 Fullstep V5 的 5.0.0 至 5.30.07 版本，则可能受到此漏洞的影响。
目前尚未提供官方修复版本，建议采取缓解措施，例如实施严格的 API 访问控制策略和强化注册流程。
目前尚未观察到大规模的公开利用，但存在被恶意利用的风险。
请访问 Fullstep 官方网站或安全公告页面，查找有关 CVE-2026-5749 的最新信息。