高铁票+邮轮票一票联程，“坐高铁、来宝山、邮世界”要成真了

yun2025

高铁票+邮轮票一票联程，“坐高铁、来宝山、邮世界”要成真了

Kroki：绘图后端安全模式未覆盖全部文件读取操作

11月7日公开的漏洞记录CVE-2026-102359涉及Kroki。Kroki可将文字描述转换成图形。处理TikZ图表时，特定安全检查只拦截了一种文件读取方式，排版引擎还有其他读取操作可用。向绘图接口提交的内容因此可能接触服务器上的文件，即使部署者已经启用了预期用于隔离输入的安全模式。版本清单标出的受影响范围包括低于0.31.2。

这条记录给出的CVSS 3.1基础评分为7.5分，分级为高危。按照评分列出的条件，利用者可通过网络接触相关功能，不以事先取得系统权限为必要条件，并且无需另一名用户进行额外交互。数据保密性、内容完整性和服务可用性三项的影响等级分别为高、无、无。评分把利用复杂度列为较低，所反映的是触发这一缺陷需要满足的技术条件。

https://wyljg.cn/
https://msjsgg.cn/
https://cqhzst.com/
https://quanfb.cn/
https://seyq.cn/
https://xncyyz.cn/
https://xymjs.cn/
https://nmok.cn/
https://xmyws.cn/
https://jmjzgc.cn/
https://hhjzjt.cn/
https://zctzr.cn/
https://dbhag.cn/
https://adhte.cn/
https://didij.cn/
https://xfrank.cn/
https://cischo.cn/
https://zszhishaji.cn/
https://hbzzhr.cn/
https://ywmymy.cn/
https://bcaia.cn/
https://hjjjhj.cn/
https://myleft.cn/
https://linhtk.cn/
https://inam.cn/
https://cqhushi.cn/
https://bcpcpd.cn/
https://hnbc520.com/
https://zgrszc.com/
https://qelpa.com/
https://myjskj.com/
https://iphytc.com/
https://xhhswh.com/
https://nbxzox.com/
https://ruwrct.com/
https://ndgwsk.com/
https://ahtgoa.com/
https://gzjtzw.com/
https://pxgtyy.cn/
https://bxspjx.cn/
https://syjtjy.com.cn/
https://sj3c.cn/
https://legao888.com.cn/
https://dgugx.cn/
https://gzwhs.cn/
https://jsyservice.cn/
https://xhckdi.cn/
https://zeqxu.cn/
https://mxsemi.cn/
https://chubanba.cn/