蒲公英 X5 Pro 兩項漏洞：CNA列7.6.0／7.6.1受影響，修補資訊待核實
情報摘要
VulDB作為CVE編號分配機構（CNA）於2026年11月1日發布兩項Oray蒲公英X5 Pro漏洞記錄：CVE-2026-120224為不當授權，CVE-2026-120225為路徑遍歷。兩項記錄均明列7.6.0及7.6.1受影響；評分向量分別要求低權限及高權限，並非未經驗證即可利用的同一情況。
CNA將CVE-2026-120224列為API授權處理的不當授權問題；其CVSS v3.1向量標示可經網絡發起、需低權限。CVE-2026-120225則涉及設定還原的路徑遍歷，向量標示需高權限。本文不提供利用步驟。
兩項CNA描述均稱利用程式已公開，並稱廠商曾獲聯絡但沒有回應。這些是CNA的披露記錄，不是本刊直接向廠商確認的結果；公開利用程式不等於已確認野外攻擊。
受影響產品
Oray蒲公英（Pugongying）X5 Pro；兩項CNA記錄明列7.6.0及7.6.1受影響，未據此擴大到其他型號。
適用讀者
部署蒲公英X5 Pro的企業網絡管理員及設備持有人。
建議行動
盤點X5 Pro型號及版本，向廠商確認適用修補或緩解措施。作為一般防禦建議，限制管理介面及相關API只供可信網絡及必要帳號使用，檢查異常設定變更；這不是已核實的廠商修補方案，也不保證完全阻止利用。
風險評級依據
依VulDB CNA的CVSS v3.1評分：CVE-2026-120224為9.9、CVE-2026-120225為9.1，均為Critical；CVSS v4.0均為9.4。這是CNA評分，不是Oray廠商評級。
解讀限制
本次未獨立重現漏洞或檢驗公開利用程式，實際利用條件及預設暴露面未完整驗證。
本次未核實正式修補版本或廠商緩解公告；不能把未核實修補資訊解讀成廠商必定沒有修補。
announcementOn採CVE記錄發布日2026年11月1日；CNA時間線另列10月31日為披露日，兩者不等於實際發現日期。
沒有已核實的香港受害機構、受影響數量或野外利用證據；不要把其他Oray產品的公告視為本兩項漏洞的修補。
資料來源
本機收藏只保存在此瀏覽器，不會自動同步或分享。