漏洞介绍Gorse是Gorse公司开源的一款基于 AI 的开源推荐系统引擎用 Go 语言编写支持经典推荐算法和 LLM 排序器并能通过嵌入向量处理多模态内容文本、图像、视频等。Gorse 0.5.10之前版本存在授权问题漏洞该漏洞源于/api/dump和/api/restore端点在admin_api_key为空默认配置时存在认证绕过问题可能导致未经身份验证的攻击者远程窃取整个数据库包括用户记录、项目及包含个人身份信息的反馈数据或完全覆盖数据集。CVE-2026-56782 是 Gorse 推荐系统的一个高危认证绕过漏洞其根源在于默认配置下的“失效开放”fail-open问题。 漏洞核心信息项目内容漏洞编号CVE-2026-56782风险等级高危 (Critical)CVSS 3.1 评分为9.8影响版本Gorse 0.5.10修复版本Gorse 0.5.10漏洞类型CWE-306: 关键功能缺少身份验证攻击复杂度低无需任何凭证通过网络即可轻松利用⚙️ 技术细节与影响问题根源Gorse 的默认配置文件config/config.toml将管理密钥admin_api_key设置为空字符串。失效逻辑在master/rest.go文件中checkAdmin()函数的逻辑存在缺陷。当检测到admin_api_key为空时函数会直接返回true这意味着任何请求无论是否携带 API Key都会被系统视为管理员操作。受影响端点主要是 Gorse 主MasterHTTP 服务的两个管理端点GET /api/dump用于导出数据库。POST /api/restore用于恢复覆盖数据库。 攻击原理与潜在危害POC复现攻击者可以发送以下请求无需任何认证即可利用此漏洞数据泄露通过访问GET /api/dump端点攻击者可以窃取整个数据库其中包含敏感的用户信息PII、物品数据和用户行为反馈数据。数据篡改与破坏通过向POST /api/restore端点提交恶意数据攻击者可以完全覆盖系统数据集导致数据投毒或服务不可用。GET /api/dump HTTP/1.1 Host: 127.0.0.1:8088️ 修复方案官方已在0.5.10版本中修复了此漏洞。请采取以下措施升级版本首选立即将 Gorse 升级到0.5.10 或更高版本。临时缓解措施如果无法立即升级可以在配置文件中为admin_api_key设置一个非空值。使用防火墙或反向代理限制对 Gorse API 端口默认 8088的访问仅允许可信 IP 段。 语法bodyGorse Dashboard