📖 AI 总结

安全公司Wiz.io披露，自托管Artifactory中存在三个正被积极利用的高危漏洞（CVE-2026-42018、CVE-2026-42016、CVE-2026-82329），攻击者可将其串联利用，仅通过少量未认证的HTTP请求，在五分钟内绕过身份验证并获得持久的管理员权限。攻击流程为：先利用匿名令牌泄露漏洞获取内部JWT，再借助令牌权限校验失效漏洞将其兑换为管理员作用域令牌，或直接通过严重级漏洞提权。得手后可创建持久化管理员账户、部署恶意Groovy插件执行代码、窃取凭据与签名密钥并建立后门。由于Artifactory处于软件供应链核心位置，一旦失陷将构成重大供应链风险。专家警告升级虽能堵住漏洞，但无法清除已潜入的攻击者，所有自托管实例应立即升级至修复版本并排查入侵痕迹。