CVE-2026-59863— Kiota 工作区配置污染导致文件写入及SSRF漏洞
获取后续新漏洞提醒登录后订阅
一、 漏洞 CVE-2026-59863 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗ 尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Kiota: Workspace-config poisoning: out-of-repo file write + generation-time SSRF
来源: 美国国家漏洞数据库 NVD
Vulnerability Description
Kiota is an OpenAPI based HTTP Client code generator. Prior to 1.32.5, Kiota honored a poisoned .kiota/workspace.json workspace configuration without validating per-client or per-plugin outputPath values during kiota client generate and kiota plugin generate, allowing a malicious repository or pull request to use absolute paths, rooted POSIX / paths, UNC \\ or // paths, Windows drive X:\ paths, or .. traversal segments to write generated client files outside the workspace root on a developer or CI host. This issue is fixed in version 1.32.5.
来源: 美国国家漏洞数据库 NVD
CVSS Information
N/A
来源: 美国国家漏洞数据库 NVD
Vulnerability Type
对路径名的限制不恰当(路径遍历)
来源: 美国国家漏洞数据库 NVD
受影响产品
二、漏洞 CVE-2026-59863 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-59863 的情报信息
请登录查看更多情报信息。
CVE-2026-59863 补丁与修复 (2)
CVE-2026-59863 厂商安全公告 (1)
CVE-2026-59863 厂商页面 (1)
- 🔗 Release v1.32.5 · microsoft/kiota · GitHubx_refsource_MISC
同批安全公告 · microsoft · 2026-07-16 · 共 20 条
| CVE-2026-57206 | 8.6 HIGH | SimpleChat插件验证端点缺少身份验证和授权 |
| CVE-2026-59117 | 7.5 HIGH | Windows Terminal 远程代码执行漏洞 |
| CVE-2026-53598 | 7.5 HIGH | Prompty ${file:path} 引用扩展导致任意文件读取漏洞 |
| CVE-2026-59861 | 7.5 HIGH | Kiota Ruby 生成器代码生成字面量注入漏洞 |
| CVE-2026-59862 | 7.5 HIGH | Kiota Python 代码生成器字面量注入漏洞 |
| CVE-2026-59867 | 7.1 HIGH | Kiota 未限制$ref 导致的 SSRF 和文件包含漏洞 |
| CVE-2026-58598 | 7.0 HIGH | Windows 备份服务提权漏洞 |
| CVE-2026-55440 | 6.5 MEDIUM | Microsoft UFO COMMAND_RESULTS 处理程序漏洞，允许经过身份验证的会话 squat 拒绝服务 |
| CVE-2026-58643 | 6.1 MEDIUM | Windows Admin Center 欺骗漏洞 |
| CVE-2026-62826 | 4.6 MEDIUM | Microsoft SharePoint Server 欺骗漏洞 |
| CVE-2026-54568 | 4.3 MEDIUM | Microsoft UFO DEVICE_INFO_REQUEST缺少授权，可读取其他设备信息 |
| CVE-2026-57205 | 4.3 MEDIUM | SimpleChat 用户IDOR漏洞可导致敏感信息泄露 |
| CVE-2026-59860 | Kiota XML注释换行代码注入漏洞 | |
| CVE-2026-59859 | Kiota PHP生成器代码生成字面量注入漏洞 | |
| CVE-2026-59865 | Kiota 远程命令执行漏洞 | |
| CVE-2026-59864 | Kiota x-ai-*扩展路径注入漏洞 | |
| CVE-2026-59866 | Kiota 任意文件写入及代码注入漏洞 | |
| CVE-2026-54733 | Moodle local_o365 插件 Teams SSO 端点未验证JWT签名导致认证绕过漏洞 | |
| CVE-2026-53597 | Prompty TypeScript加载器JavaScript头信息远程代码执行漏洞 |
IV. Related Vulnerabilities
V. Comments for CVE-2026-59863
暂无评论