S2-069

Parsing of XML configuration in XWork component does not validate XML in proper way and it's vulnerable to XML external entity \(XXE\) injection.

SmarterMail 邮件服务器任意文件上传漏洞(CVE-2025-52691)

SmarterMail是一款邮件服务器软件，用于企业内部邮件的收发管理。该漏洞允许未经身份验证的攻击者上传任意文件到邮件服务器的任何位置，可能实现远程代码执行。

n8n 远程代码执行漏洞(CVE-2026-21858)

该漏洞源于n8n 表单（Form）节点在处理请求时，未能正确验证 Content\-Type 头部，导致攻击者可通过类型混淆覆盖 req.body.files 对象从而操纵文件路径参数，未经身份认证的用户可通过公开的表单节点读取任意文件并配合后台漏洞实现远程代码执行。

Langflow API 身份验证缺失漏洞

Langflow是一个基于FastAPI构建的开源框架，用于简化和管理自然语言处理（NLP）工作流的开发。它提供了一套直观的API接口，帮助开发者快速构建和部署对话系统、自动化任务等应用。Langflow旨在提供灵活的扩展性和高效的数据处理能力，适用于各种NLP项目，支持与多个机器学习模型和数据源的集成。2026年1月4日，启明星辰集团VSRC监测到Langflow存在多个关键AP接口缺少身份验证控制的漏洞，导致未经过身份验证的用户能够访问敏感的用户对话数据、交易历史记录，并执行破坏性操作，包括删除消息等。这些漏洞出现在src/backend/base/langflow/api/v1/monitor.py文件中的三个API接口，具体为：获取消息、获取交易记录和删除会话消息。由于缺少必要的身份验证依赖（Depends\(get\_current\_active\_user\)），攻击者可以在未提供身份验证信息的情况下访问这些接口，从而导致用户数据泄露、隐私侵犯及数据销毁风险。漏洞评分8.8分，漏洞级别高危。

Apache Kyuubi 目录访问控制绕过漏洞

Apache Kyuubi是Apache基金会旗下的分布式SQL网关与多租户计算服务平台，主要面向Apache Spark、Flink等大数据计算引擎。Kyuubi通过统一的服务层对外提供JDBC/REST等访问接口，实现会话隔离、权限控制、资源管理与审计能力，降低多用户共享大数据集群的运维与安全复杂度，广泛应用于企业级数据分析与数据治理场景。2026年1月7日，启明星辰集团VSRC监测到Apache Kyuubi Server中存在目录访问控制绕过漏洞。由于服务器端在处理本地路径时缺乏必要的路径规范化校验，攻击者只要能够通过Kyuubi前端协议访问服务，即可绕过kyuubi.session.local.dir.allow.list配置限制，访问或使用未被允许列表包含的本地文件资源。该问题可能导致本地敏感数据被非法读取，破坏系统原有的访问控制边界，增加数据泄露与合规风险。漏洞评分8.8分，漏洞级别高危。