漏洞概述 | |||
漏洞名称 | Nacos 权限绕过漏洞 | ||
漏洞编号 | QVD-2026-59388 | ||
公开时间 | 2026-08-27 | 影响量级 | 万级 |
奇安信评级 | 高危 | CVSS 3.1分数 | 9.8 |
威胁类型 | 代码执行 | 利用可能性 | 高 |
POC状态 | 未公开 | 在野利用状态 | 未发现 |
EXP状态 | 未公开 | 技术细节状态 | 未公开 |
危害描述：攻击者可在未授权状态下创建管理员账户，完全接管 Nacos 服务端，窃取所有微服务配置信息（包含数据库连接字符串、API密钥等敏感凭证），修改配置导致业务中断，创建后门账户实现持久化，利用获取的凭证横向移动攻击企业内网其他系统。 | |||
01
漏洞详情
>>>>
影响组件
Nacos 是阿里巴巴开源的动态服务发现、配置管理和服务管理平台，是微服务架构体系中的核心基础设施组件之一，通常在企业内网部署，承担服务注册中心和配置中心双重角色。
>>>>
漏洞描述
近日，奇安信CERT监测到官方修复Nacos 权限绕过漏洞(QVD-2026-59388)，该漏洞源于Nacos 3.0.0至3.2.3版本的UserControllerV3.createUser()方法的@Secured注解缺少apiType参数，导致鉴权作用域错配。攻击者可利用该漏洞在未授权状态下创建管理员账户，进而完全接管服务端，窃取所有配置信息。鉴于该漏洞影响范围较大，建议客户尽快做好自查及防护。
>>>>
利用条件
无需任何凭证，仅需网络可达。
02
影响范围
>>>>
影响版本
3.0.0 <= Nacos <= 3.2.3
>>>>
其他受影响组件
无
03
复现情况
目前，奇安信CERT已成功复现Nacos 权限绕过漏洞(QVD-2026-59388)，截图如下：
04
受影响资产情况
奇安信鹰图资产测绘平台数据显示，Nacos 权限绕过漏洞(QVD-2026-59388)关联的国内风险资产总数为39808个，关联IP总数为7857个。国内风险资产分布情况如下：
05
处置建议
>>>>
安全更新
官方已发布安全补丁，请及时更新至最新版本：
Nacos >= 3.2.4
下载地址：
https://github.com/alibaba/nacos/releases/tag/3.2.4
临时缓解措施：
1. 如无法立即升级，必须开启所有鉴权开关：开启鉴权后，所有SDK客户端必须配置用户名密码，需要评估对业务的影响；
2. 网络隔离：仅允许可信IP段访问；Nacos属内网设施，任何公网暴露都应立即回撤。
06
参考资料
[1]https://github.com/alibaba/nacos/releases/tag/3.2.4
声明：本文来自奇安信 CERT，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
