資安快訊：今日重要 CVE（2026-07-10）

今日重點是 CI/CD、Kubernetes Gateway、Wiki 平台與 LLM WebUI 管理介面都有高風險漏洞；如果你的專案或內部平台有用到 Tekton Pipelines、Traefik、MediaWiki 或 Hermes WebUI，請優先確認版本並升級。

CVE-2026-33211（嚴重度 CVSS 9.6）

影響

這個漏洞影響 Tekton Pipelines，也就是 Kubernetes 上常用來宣告與執行 CI/CD pipeline 的工具。

受影響版本為 Tekton Pipelines 1.0.0 起，且低於 1.0.1、1.3.3、1.6.1、1.9.2、1.10.2 的版本。漏洞出在 git resolver 的 pathInRepo 參數，可能被用來做路徑穿越。若某個租戶有權限建立 ResolutionRequests（例如透過使用 git resolver 的 TaskRuns 或 PipelineRuns），就可能讀取 resolver pod 檔案系統中的任意檔案，包括 ServiceAccount token。讀到的內容會以 base64 編碼形式出現在 resolutionrequest.status.data。

該做什麼

如果你在 Kubernetes CI/CD 流程中使用 Tekton Pipelines，請確認版本並升級到已修補版本：

• 1.0.1
• 1.3.3
• 1.6.1
• 1.9.2
• 1.10.2

也請特別檢查哪些使用者或租戶可以建立 TaskRuns、PipelineRuns 或 ResolutionRequests，避免不必要的權限暴露。

CVE-2026-44774（嚴重度 CVSS 9.9）

影響

這個漏洞影響 Traefik，也就是常見的 HTTP reverse proxy 與 load balancer，特別是使用 Kubernetes Gateway API provider 的部署情境。

受影響版本為 2.11.46 之前、3.6.17 之前、3.7.1 之前。在共享 Gateway 部署中，如果 REST provider 已啟用，擁有 HTTPRoute 建立權限的租戶可能透過後端參照暴露 REST provider handler，繞過 providers.rest.insecure=false 設定。這可能讓低權限使用者取得 Traefik 的即時動態設定寫入能力，進而未授權修改 routers 與 services。

該做什麼

如果你的 Kubernetes 叢集使用 Traefik Gateway API provider，請優先升級到以下修補版本：

• Traefik 2.11.46
• Traefik 3.6.17
• Traefik 3.7.1

同時請檢查共享 Gateway 環境中，哪些帳號或租戶擁有建立 HTTPRoute 的權限，尤其是在 REST provider 已啟用的部署中。

CVE-2026-58025（嚴重度 CVSS 9.8）

影響

這個漏洞影響 MediaWiki，也就是許多 Wiki 網站與內部知識庫使用的平台。

漏洞類型是不可信資料反序列化，相關程式檔包含：

• includes/Import/WikiImporter.Php
• includes/Import/WikiRevision.Php
• includes/Logging/LogEntryBase.Php

受影響版本為 MediaWiki 早於 1.46.0、1.45.4、1.44.6、1.43.9 的版本。

該做什麼

如果你維護 MediaWiki 站台，請確認目前版本，並升級到不受影響的版本線：

• 1.46.0 或更新版本
• 1.45.4 或更新版本
• 1.44.6 或更新版本
• 1.43.9 或更新版本

如果你的團隊有內部 Wiki、自架文件站或開發知識庫，這類平台常被忽略，建議今天就排查版本。

CVE-2026-58122（嚴重度 CVSS 9.1）

影響

這個漏洞影響 Hermes WebUI 0.51.307 之前版本。這是與 LLM WebUI 管理介面相關的漏洞，對使用 AI 工具與 LLM provider 設定的開發團隊特別需要注意。

漏洞是 authentication bypass。未經認證的遠端攻擊者可以透過帶有 loopback address 的偽造 X-Forwarded-For header，繞過 onboarding endpoints 的 local-origin IP 限制。攻擊者可能利用這個繞過對內部服務發起 SSRF，包括 cloud metadata endpoints，也可能覆寫 LLM provider 設定與 API keys，或啟動 OAuth device-code flows 取得儲存在 auth.json 的持久 access tokens。

該做什麼

如果你有部署 Hermes WebUI，請升級到 0.51.307 或更新版本。

也請檢查 WebUI 是否暴露在不必要的網路範圍內，並確認 LLM provider 設定與 API keys 沒有被非預期修改。

資料來源：NVD

• CVE-2026-33211：https://github.com/tektoncd/pipeline/commit/10fa538f9a2b6d01c75138f1ed7ba3da0e34687c、https://github.com/tektoncd/pipeline/commit/318006c4e3a5、https://github.com/tektoncd/pipeline/commit/3ca7bc6e6dd1d97f80b84f78370d91edaf023cbd
• CVE-2026-44774：https://github.com/traefik/traefik/releases/tag/v2.11.46、https://github.com/traefik/traefik/releases/tag/v3.6.17、https://github.com/traefik/traefik/releases/tag/v3.7.1
• CVE-2026-58025：https://phabricator.wikimedia.org/T422244
• CVE-2026-58122：https://github.com/nesquena/hermes-webui/commit/70596e6993be0d4cee083c1c1a86f5e7ad5d57b7、https://github.com/nesquena/hermes-webui/pull/3758、https://github.com/nesquena/hermes-webui/releases/tag/v0.51.307