資安快訊：今日重要 CVE（2026-10-12）

今天的重要資安重點：自架 Agnaistic agnai 的開發者要立刻檢查 Docker Compose 設定，避免固定管理員密碼與公開 JWT secret 讓攻擊者直接取得管理權限。

CVE-2026-108753（嚴重度 CVSS 9.4）

影響

Agnaistic agnai 到 1.0.555 版為止，在 self-host.docker-compose.yml 內含有 hard-coded credentials 問題：設定了固定的 admin password 與公開的 JWT secret。

如果你有自架 agnai，未登入的攻擊者可能可以用固定密碼登入 admin，或自行簽出帶有 admin: true 的 JWT，進而冒充使用者、重設密碼、修改伺服器設定。

該做什麼

如果你正在自架 agnai，請檢查是否使用受影響版本與官方範例中的 self-host.docker-compose.yml 設定。不要沿用固定 admin password 或公開 JWT secret；改成你自己的強密碼與隨機 secret。

如果已經用這份設定部署過，請視為 admin password 與 JWT secret 已外洩：更換密碼、替換 JWT secret，並檢查是否有異常帳號、密碼重設或伺服器設定變更。

資料來源：NVD

• CVE-2026-108753: https://nvd.nist.gov/vuln/detail/CVE-2026-108753
• References:
  • https://github.com/agnaistic/agnai
  • https://github.com/agnaistic/agnai/blob/6c3de258cb33999c3f292c71aa031d2352681186/README.md#L75-L82
  • https://github.com/agnaistic/agnai/blob/6c3de258cb33999c3f292c71aa031d2352681186/self-host.docker-compose.yml#L18-L26