事件经过
CVE-2026-111692（CVSS 9.8，CWE-321）已通过NVD REST API验证（由VulnCheck于2026-10-16发布）：JWT签名HMAC密钥在JwtTokenService/配置中被硬编码为默认开发密钥，因此未认证攻击者可以伪造具有未来过期时间的admin令牌，访问所有受保护的/webapi路由，包括Doris SQL查询API。配套CVE-2026-111693（同样CVSS 9.8）是硬编码的默认admin/Databuff@123登录。
影响分析
自托管DataBuff的AI可观测性/APM部署通过两个简单的未认证路径（已知签名密钥和默认凭据）暴露了监控栈的完全写/读控制——包括对遥测数据的SQL查询API。攻击者获得对AI工作负载监控和底层查询引擎的管理员权限。
攻击途径
未认证：攻击者使用来自JwtTokenService的硬编码HMAC密钥签署admin角色JWT，或向/webapi/api/v1/auth/login POST默认的admin/Databuff@123，然后访问包括Doris SQL查询API在内的受保护/webapi路由。
受影响系统
DataBuff ai-apm-web ≤ 0.1.10（databufflabs/databuff）
缓解措施
升级到0.1.10之后；将默认开发密钥替换为随机强密钥，禁用/更改内置管理员账户，并在任何暴露的部署上轮换凭据。参见VulnCheck公告。