威胁动态

中CVSS4.3#CVE-2026-111793 #Openwave Messaging #Webtop Media Transcoder #消息平台 #KEV #JVN

CVE-2026-111793 — Openwave Webtop Media Transcoder 绕过文件类型限制：解析与对策（已在 1.1.22.0 修复，已观察到攻击，已列入 KEV）

CVE-2026-111793：1.1.22.0 之前的 Openwave Webtop Media Transcoder 不执行管理员设定的文件类型限制。据 JVN 已观察到攻击。已列入 CISA KEV。

发布于 2026-11-11 更新于 2026-11-11 最后核实 2026-11-11 2 分钟阅读

本页目录

这是一篇针对 Webtop Media Transcoder 缺陷的解析：据公告，它是 Openwave Messaging 平台中为 Webmail 转换文档的功能，其文件类型限制没有被执行。评分虽低，但已观察到攻击，所以这篇简短的说明面向使用 Openwave Messaging 的消息平台运营方：如何确认以及该怎么做。

公告摘要 — ADVISORY / KEV

CVE: CVE-2026-111793（厂商公告 CAN-2026-2032674，JVNVU#93403064）
严重度: 厂商和 CVE：CVSS v3.1 4.3（Medium）。JVN：标为 critical
类型: 范围之间的资源传递不当（CWE-669）。管理员设定的文件类型限制没有被执行
受影响: Webtop Media Transcoder 1.1.22.0 之前（CVE 记录列出 Linux）
修复: 1.1.22.0。厂商要求客户升级到受支持的最新 Media Server 2.0 版本
所述影响: 厂商和 CVE：可转换非预期的文档类型（较低的可用性影响）。JVN：可能获取敏感信息
日期: 因来源而异（见下表）
利用情况: JVN：开发方表示已观察到攻击。11月10日列入 CISA KEV（期限为11月24日）

4.3

CVSS v3.1（厂商）

已观察到攻击

据 JVN

1.1.22.0

修复

11月24日

KEV 期限

这是什么样的漏洞

厂商公告和 CVE 记录称，Webtop Media Transcoder 不执行管理员设定的文件类型限制。绕过 Webmail 界面的已认证用户可能能够处理并转换非预期的文档类型。公告没有给出方法，本站也不给出。

各来源对影响的措辞不同，本站不偏向任何一方。

来源	说法
厂商公告和 CVE 记录	可转换非预期的文档类型。公告给出 CVSS v3.1 4.3；向量在 CVE 记录中（无机密性和完整性影响，可用性较低）
JVN	能够登录的攻击者上传精心构造的文件，可能获取敏感信息。标为 critical。开发方表示已观察到攻击
CISA KEV	已认证的用户可能处理并转换非预期的文档类型（与厂商措辞相同）

日期各不相同

来源	日期
厂商公告	披露日期为2026年10月7日。称修复版本 1.1.22.0 发布于2021年12月6日
CVE 记录	2026年10月16日发布
JVN	2026年11月9日发布并最后更新
CISA KEV	2026年11月10日列入（期限11月24日）

公告日期（2026年）与所述的修复发布日期（2021年）之间相差四年多。本站无法通过公开信息确认原因，也不确定采用其中哪一个日期。

谁受影响

项目	内容
产品	Openwave Messaging Webtop Media Transcoder
受影响版本	1.1.22.0 之前
修复	1.1.22.0。厂商要求客户升级到受支持的最新 Media Server 2.0 版本
临时办法	公告中没有列出
步骤和下载	JVN 让读者向开发方咨询

如何确认自己是否受影响

确认 Webtop Media Transcoder 的版本

请在平台的配置记录中，或通过厂商的支持联系人，确认正在运行的版本。早于 1.1.22.0 即受影响。如果生产、预发布和备用系统是分开的，请逐一检查（资产清点清单）。

列出能够访问转换功能的途径

确认转换功能是否可以被直接访问，而不只是通过 Webmail 界面，例如从内部网络或订户网络，或经由 API。

今天该做什么

确认版本并向厂商索取修复

如果受影响，请按厂商的建议升级到 1.1.22.0 或更高（受支持的最新 Media Server 2.0 版本）。请向厂商询问获取方式和升级注意事项。KEV 的期限是11月24日。

在此之前，收窄可访问的对象

公告没有列出临时办法。作为本站自己的补充建议，把能够访问转换功能的来源限制为 Webmail 平台所需的范围。这不能代替更新。

查找意外的转换或上传

在转换日志中，查找管理员未允许的文档类型、不是经由 Webmail 界面发起的调用，以及异常大的量。JVN 提到了获取信息，所以不要止步于更新；请记录检查的范围和时间段。流程见漏洞修复实务手册。

利用情况

JVN 称开发方表示已观察到利用该漏洞的攻击。厂商公告没有提到利用情况。
CISA 于2026年11月10日把它列入 KEV，期限为11月24日（KEV 版本 2026.11.10）。勒索软件使用情况记为 Unknown，取证分诊记为 No。
CVE 记录中附有 CISA 的评估（exploitation active、not automatable、partial technical impact）。
规模、手法或损害的公开信息无法确认。

信息来源

Openwave Messaging (Ireland) Ltd — Public Security Advisory CAN-2026-2032674（受影响版本、修复版本、CVSS 4.3、披露日期）
JVN — JVNVU#93403064（2026年11月9日发布；已观察到攻击的说明）
CVE.org — CVE-2026-111793（2026年10月16日发布；含 CISA 的列入信息）
CISA KEV — Known Exploited Vulnerabilities Catalog（11月10日列入，期限11月24日）

最后确认：2026年11月11日。

FAQ

QCVE-2026-111793 是什么？

这是 Openwave Messaging 的 Webtop Media Transcoder（据公告，用于为 Webmail 转换文档）中的缺陷（CWE-669），它不执行管理员设定的文件类型限制。厂商公告和 CVE 记录称，绕过 Webmail 界面的已认证用户可能能够处理并转换非预期的文档类型。

Q哪些版本受影响，修复版本是什么？

厂商公告和 JVN 称，1.1.22.0 之前的版本受影响，修复版本是 1.1.22.0。公告要求客户升级到受支持的最新 Media Server 2.0 版本。公告没有列出临时办法，JVN 让读者向开发方咨询详情。

Q严重程度如何？

各来源的说法不一。厂商公告给出 CVSS v3.1 4.3（Medium），向量（AV:N/AC:L/PR:L/UI:N/C:N/I:N/A:L）在 CVE 记录中。按 CVSS 的口径，只有较低的可用性影响。JVN 将其标为 critical，并称能够登录的攻击者上传精心构造的文件，可能获取敏感信息。公开信息无法判定哪个更接近实际。

Q被利用了吗？

JVN 称开发方表示已观察到利用该漏洞的攻击。CISA 也于11月10日将其列入 KEV（期限为11月24日）。厂商公告本身没有提到利用情况。规模和手法无法通过公开信息确认。

Q是什么时候公布的？

各来源给出的日期不同，本站不择其一。厂商公告列出的披露日期是2026年10月7日，CVE 记录于10月16日发布，JVN 于11月9日发布，KEV 于11月10日列入。公告还称修复版本 1.1.22.0 发布于2021年12月6日，比公告日期早了好几年。公开信息没有解释这一差距的原因。