oss-sec 邮件列表单日 275 封：Apache 多项目漏洞集中爆发

DanielLockyer · x · 2026-10-21

DanielLockyer 查看 oss-sec 安全公告邮件列表，发现仅 10 月 1 日至 20 日期间就有 275 条消息，感叹网络安全从业者日子「很精彩」。集中在 10 月 1 日当天披露的漏洞包括：Apache APISIX 一连串问题（SAML 认证未授权身份冒充、会话固定、日志 data-mask 泄露请求头、跨请求权限污染、路由/上游授权不匹配、OpenID Connect 校验缺陷、批量响应聚合耗尽内存等）、Apache HTTP Server 多项漏洞（含 CGI 目录内部重定向导致的受限 RCE、moddav 共享锁溢出、modsession 会话 cookie 未清除等），以及 Apache Camel Quarkus 的 TransformerFactory 加固失效、Perl 图像库 Imager 两个堆溢出等。