跳到主要内容

超危

TrueConf server授权问题漏洞

2026-08-19 16:55:14 公开 ，2026-08-22 01:20:35 更新

  • CISA KEV
  • 关键漏洞
  • 漏洞攻击链
  • CWE Top 25 (2023)
  • CWE Top 25 (2024)
  • 远程
  • 无需认证
  • 公开PoC
CWEs：
CWE-306 （Missing Authentication for Critical Function）
CAPEC：
CAPEC-12 （Choosing Message Identifier） 、 CAPEC-166 （Force the System to Reset Values） 、 CAPEC-216 （Communication Channel Manipulation） 、 CAPEC-36 （Using Unpublished Interfaces or Functionality） 、 CAPEC-62 （Cross Site Request Forgery）
SSVC：
可利用状态：已被积极利用攻击自动化：是技术影响评估：全部 2026-08-19 08:00:00

风险信息

CVSS v3.1 向量
AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS v3.1 风险值
9.8
CVSS v4.0 向量
AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
CVSS v4.0 风险值
9.3

详细信息

漏洞类型
授权问题
漏洞描述
TrueConf server是立陶宛TrueConf公司的一款视频会议服务器。 TrueConf server 5.3.9之前版本、5.4.9之前版本和5.5.5之前版本存在授权问题漏洞，该漏洞源于调用未文档化函数，该函数在设计上未实施任何认证机制。远程攻击者无需凭据即可直接调用此函数，可能导致未经身份验证的远程攻击者通过4307/TCP端口执行任意脚本。此漏洞与CVE-2026-72530形成漏洞攻击链。
修复建议
将TrueConf服务器更新到5.3.9，5.4.9或 5.5.5或更高版本，参考链接： https://trueconf.com/blog/news/security-fixes-updates-and-advisories

参考链接