CVE-2026-65617 (CVSS 8.8) - A deserialization weakness in JFrog Artifactory package handling could allow a l
CVE-2026-65617 是一个影响 JFrog Artifactory 的高危反序列化漏洞，CVSS 8.8。低权限用户在特定仓库条件下可远程执行代码，导致数据泄露、权限提升和服务中断。立即升级至安全版本并应用临时缓解措施。
CVE-2026-65617 (CVSS 8.8) - A deserialization weakness in JFrog Artifactory package handling could allow a l
📋 漏洞概述
JFrog Artifactory 反序列化漏洞允许低权限用户在特定仓库条件下影响机密性、完整性和可用性。
📋 基础信息
| 受影响版本 | JFrog Artifactory 受影响版本详情待厂商公告（推测涉及 Artifactory 7.x 及 6.x 系列特定构建版本） |
| 漏洞类型 | 反序列化漏洞 |
| CVSS | 8.8 · High |
| CVE | CVE-2026-65617 |
🔬 漏洞根因
JFrog Artifactory 在处理特制包文件时，未对反序列化数据进行充分校验和过滤。攻击者可通过构造恶意序列化对象，触发不安全反序列化，导致任意代码执行。低权限用户可利用该缺陷绕过权限检查，在特定仓库配置下（如使用自定义类加载器或未限制反序列化来源）触发漏洞。
🎯 攻击场景
1. 攻击者以低权限用户身份登录 Artifactory UI 或 API。 2. 攻击者上传一个特制的包文件（如 .jar 或 .tar），其元数据或扩展属性中包含精心构造的 Java 序列化对象。 3. 当 Artifactory 后台处理该包（例如索引、元数据解析、依赖分析）时，反序列化流程触发恶意对象。 4. 恶意对象在 Artifactory 应用服务器上执行任意系统命令或代码。 5. 成功实现远程代码执行（RCE），获得应用服务权限，进而窃取数据、篡改仓库内容或导致服务中断。
💥 漏洞影响
远程代码执行（RCE），可导致完全控制 Artifactory 服务器。低权限用户可直接提升至应用级权限，泄露敏感配置和存储的软件包，篡改仓库中的制品，甚至横向移动至内部网络。影响范围包括 JFrog Artifactory 部署实例所在的所有环境。
🛡️ 修复建议
立即升级至 JFrog 官方发布的安全版本（预计 7.90.x 以上或 6.23.x 以上，具体请查阅官方公告）。临时缓解措施：限制低权限用户上传包文件的能力；在反向代理或 WAF 中过滤可疑序列化数据流量；启用 Artifactory 安全日志以检测异常反序列化行为。
📎 参考链接
- https://nvd.nist.gov/vuln/detail/CVE-2026-65617
- https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2026-65617
🚨 威胁评估
| 📈 EPSS 利用概率 | 暂无数据 |
| 🚨 CISA KEV | 未被已知利用 |
| 🔧 公开 PoC | 暂无公开 PoC |
⚠️ 本文由漏洞情报系统自动生成，仅供安全研究与防御参考。生成时间: 2026-07-30 01:00 | 来源: NVD-Latest
🤖 常见问题解答（FAQ）
❓ 该漏洞是否需要认证？
需要低权限用户认证，但低权限账户可通过注册或默认凭证获取，实际利用门槛较低。
❓ 如何检测是否受影响？
检查 Artifactory 版本是否在受影响范围；监控日志中是否存在异常反序列化异常（如 ClassNotFoundException 或任意文件读取痕迹）。
❓ 能否通过 WAF 缓解？
可尝试部署 WAF 规则过滤包含 Java 序列化魔术头（AC ED 00 05 或 rO0AB）的 HTTP 请求，但无法完全阻断，最好升级版本。