| TVN ID | TVN-202602002 |
|---|---|
| CVE ID | CVE-2026-2095, CVE-2026-2096, CVE-2026-2097, CVE-2026-2098, CVE-2026-2099 |
| CVSS | CVE-2026-2095： 9.8 (Critical) CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H CVE-2026-2096： 9.8 (Critical) CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H CVE-2026-2097： 8.8 (High) CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H CVE-2026-2098： 5.4 (Medium) CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVE-2026-2099： 5.4 (Medium) CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N |
| 影響產品 | CVE-2026-2095, CVE-2026-2096, CVE-2026-2097： Agentflow 所有版本 CVE-2026-2098, CVE-2026-2099： Agentflow 4.0 |
| 問題描述 | CVE-2026-2095(Authentication Bypass)： 未經身分鑑別之遠端攻擊者可利用特定功能取得任意使用者驗證憑證，進而以任意使用者身分登入系統。 CVE-2026-2096(Missing Authenticaton)： 未經身分鑑別之遠端攻擊者可利用特定功能讀取、修改及刪除資料庫內容。 CVE-2026-2097(Arbitrary File Upload)： 已通過身分鑑別之遠端攻擊者可上傳並執行網頁後門程式，進而於伺服器端執行任意程式碼。 CVE-2026-2098(Reflected Cross-site Scripting)： 未經身分鑑別之遠端攻擊者可利用釣魚攻擊於使用者端瀏覽器執行任意JavaScript程式碼。 CVE-2026-2099(Stored Cross-Site Scripting)： 已通過身分鑑別之遠端攻擊者可於特定頁面注入持久性JavaScript程式碼，並在使用者瀏覽該頁面時自動執行。 |
| 解決方法 | CVE-2026-2095, CVE-2026-2096： 請參考以下官方說明採取緩解措施 https://forum.flowring.com/post/view?bid=72&id=45611&tpg=1&ppg=1&sty=1#45939 CVE-2026-2097： 聯繫廠商確認應對措施 CVE-2026-2098, CVE-2026-2099： 更新至4.0.0.1878.877(含)以後版本 |
| 漏洞通報者 | CVE-2026-2095, CVE-2026-2096, CVE-2026-2097： Sideman (DEVCORE) CVE-2026-2098, CVE-2026-2099： ChunHao Yang(CHTSecurity) |
| 公開日期 | 2026-02-06 |
:::