CVE 索引EN
L3 · 拉裤子了HPE · Fabric Composer · networkinghpe-fabric-composer

HPE Fabric Composer 修复 46 个漏洞，包含未认证管理员访问

HPE 修复 Fabric Composer 的 46 个漏洞，包括通过 CLI 凭据取得远程管理员访问及邻接网络代码执行。7.4.x 升至 7.4.1+，7.3.x 升至 7.3.5+，并隔离管理接口。已审阅来源未确认实际利用。

披露时间
2026年11月3日
公开披露日期
严重程度
CVSS 9.8 × 1
本页收录 46 个 CVE
波及范围
Fabric Composer 管理部署，受影响版本至 7.4.0 / 7.3.4；各漏洞分别要求远程、邻接或本地访问
networking
在野利用
未知
已审阅来源未确认实际利用；HPE 表示发布时未发现公开利用代码。

发生了什么

HPE 在 11 月 3 日公告中将 46 个漏洞归入同一 Fabric Composer 发布批次，编号为 CVE-2026-95731 至 CVE-2026-95777，但不包括未被列出的 CVE-2026-95754，最高评分为 9.8。未认证管理员访问及邻接网络代码执行会影响数据中心管理平面，因此列为 L3；严重评分本身不能证明广泛利用。

远程 CLI 凭据漏洞与两个严重的邻接网络漏洞不同。其他漏洞分别要求账户、本地访问、用户交互，或攻击者无法控制的额外条件。逐项条目保留 HPE CVSS 数据中的访问、权限及交互要求；未公开的额外前提不能假设为默认配置。实际暴露取决于相关接口的可达性，不能将所有 HPE 设备视为受影响。公告未列出的其他 HPE Networking 产品不受这些漏洞影响。

HPE 列出的受影响版本为 7.4.0 及以下、7.3.4 及以下。受支持分支的修复版本为 7.4.1+ 和 7.3.5+。过时版本需要迁移：终止维护版本被推定受影响，终止支持版本的暴露情况尚未评估。网络隔离只是在升级前降低风险，不能代替升级。

漏洞均由 HPE 内部研究发现。HPE 表示发布时未发现公开讨论或利用代码，这不等于确认从未发生利用。已审阅材料没有确认实际利用、数据泄露范围、受害者数量、恢复事件或公开攻击指标。

马桶里有什么

CVE-2026-95731CVSS 9.8

CLI 硬编码凭据可授予管理员访问

CLI 硬编码凭据可授予管理员访问。要求远程网络访问、无需预先认证，无需用户交互。

CVE-2026-95732CVSS 9.6

操作系统认证绕过可导致代码执行

操作系统认证绕过可导致代码执行。要求邻接网络访问、无需预先认证，无需用户交互。

CVE-2026-95733CVSS 9.6

组件漏洞可导致代码执行

组件漏洞可导致代码执行。要求邻接网络访问、无需预先认证，无需用户交互。

CVE-2026-95734CVSS 8.8

API 可泄露超出调用者权限的存储凭据

API 可泄露超出调用者权限的存储凭据。要求远程网络访问、低权限账户，无需用户交互。

CVE-2026-95735CVSS 8.7

额外前提下，证书校验漏洞可泄露凭据

额外前提下，证书校验漏洞可泄露凭据。要求远程网络访问、无需预先认证，无需用户交互。

CVE-2026-95736CVSS 8.3

额外前提下，证书校验漏洞可泄露敏感流量

额外前提下，证书校验漏洞可泄露敏感流量。要求邻接网络访问、无需预先认证，无需用户交互。

CVE-2026-95737CVSS 8.2

操作系统漏洞可进一步提升本地高权限账户的权限

操作系统漏洞可进一步提升本地高权限账户的权限。要求本地访问、高权限账户，无需用户交互。

CVE-2026-95738CVSS 8.1

额外前提下，认证绕过可授予管理员访问

额外前提下，认证绕过可授予管理员访问。要求远程网络访问、无需预先认证，无需用户交互。

CVE-2026-95739CVSS 8.1

额外前提下，API 登录限制不足可导致暴力破解及管理员访问

额外前提下，API 登录限制不足可导致暴力破解及管理员访问。要求远程网络访问、无需预先认证，无需用户交互。

CVE-2026-95740CVSS 8

额外前提下，证书校验漏洞可泄露与远端服务器的通信

额外前提下，证书校验漏洞可泄露与远端服务器的通信。要求邻接网络访问、无需预先认证，无需用户交互。

CVE-2026-95741CVSS 8

API 完整性校验缺失可导致提权

API 完整性校验缺失可导致提权。要求远程网络访问、低权限账户，并需要用户交互。

CVE-2026-95742CVSS 7.8

操作系统文件写入漏洞可用更高权限创建或覆盖文件

操作系统文件写入漏洞可用更高权限创建或覆盖文件。要求本地访问、低权限账户，无需用户交互。

CVE-2026-95743CVSS 7.8

操作系统漏洞可提升本地低权限账户的权限

操作系统漏洞可提升本地低权限账户的权限。要求本地访问、低权限账户，无需用户交互。

CVE-2026-95744CVSS 7.7

额外前提下，接口漏洞可泄露受保护流量

额外前提下，接口漏洞可泄露受保护流量。要求邻接网络访问、低权限账户，无需用户交互。

CVE-2026-95745CVSS 7.5

API 拒绝服务可使管理服务不可用

API 拒绝服务可使管理服务不可用。要求远程网络访问、无需预先认证，无需用户交互。

CVE-2026-95746CVSS 7.5

额外前提下，API 认证绕过可导致未授权访问

额外前提下，API 认证绕过可导致未授权访问。要求邻接网络访问、无需预先认证，无需用户交互。

CVE-2026-95747CVSS 7.5

额外前提下，SSH 漏洞可导致越权访问内部服务

额外前提下，SSH 漏洞可导致越权访问内部服务。要求远程网络访问、低权限账户，无需用户交互。

CVE-2026-95748CVSS 7.5

SQL 注入可执行任意数据库命令

SQL 注入可执行任意数据库命令。要求邻接网络访问、无需预先认证，无需用户交互。

CVE-2026-95749CVSS 7.5

完整性校验缺失可导致代码执行

完整性校验缺失可导致代码执行。要求远程网络访问、无需预先认证，并需要用户交互。

CVE-2026-95750CVSS 7.5

额外前提下，证书校验漏洞可泄露凭据

额外前提下，证书校验漏洞可泄露凭据。要求远程网络访问、无需预先认证，无需用户交互。

CVE-2026-95751CVSS 7.4

额外前提下，API 证书校验漏洞可绕过认证

额外前提下，API 证书校验漏洞可绕过认证。要求远程网络访问、无需预先认证，无需用户交互。

CVE-2026-95752CVSS 7.1

本地 API 漏洞可导致提权

本地 API 漏洞可导致提权。要求本地访问、低权限账户，无需用户交互。

CVE-2026-95753CVSS 7.1

API 漏洞可泄露受管交换机的网络流量

API 漏洞可泄露受管交换机的网络流量。要求远程网络访问、低权限账户，无需用户交互。

CVE-2026-95755CVSS 6.8

额外前提下，证书校验漏洞可泄露管理流量

额外前提下，证书校验漏洞可泄露管理流量。要求邻接网络访问、无需预先认证，无需用户交互。

CVE-2026-95756CVSS 6.6

额外前提下，API 命令注入可提升管理员的操作系统权限

额外前提下，API 命令注入可提升管理员的操作系统权限。要求远程网络访问、高权限账户，无需用户交互。

CVE-2026-95757CVSS 6.5

本地 API 认证绕过可向已配置的远端服务器写入文件

本地 API 认证绕过可向已配置的远端服务器写入文件。要求本地访问、低权限账户，无需用户交互。

CVE-2026-95758CVSS 6.5

API 授权绕过可修改受保护资源

API 授权绕过可修改受保护资源。要求远程网络访问、低权限账户，无需用户交互。

CVE-2026-95759CVSS 6.5

API 漏洞可抑制攻击活动的审计记录

API 漏洞可抑制攻击活动的审计记录。要求远程网络访问、低权限账户，无需用户交互。

CVE-2026-95760CVSS 6.4

额外前提下，API 漏洞可导致提权

额外前提下，API 漏洞可导致提权。要求远程网络访问、低权限账户，无需用户交互。

CVE-2026-95761CVSS 5.9

证书校验漏洞可泄露敏感信息

证书校验漏洞可泄露敏感信息。要求远程网络访问、低权限账户，无需用户交互。

CVE-2026-95762CVSS 5.9

额外前提下，API 会话过期缺陷可维持管理员访问

额外前提下，API 会话过期缺陷可维持管理员访问。要求远程网络访问、高权限账户，无需用户交互。

CVE-2026-95763CVSS 5.9

额外前提下，证书校验漏洞可泄露传输文件及远端服务器凭据

额外前提下，证书校验漏洞可泄露传输文件及远端服务器凭据。要求远程网络访问、无需预先认证，无需用户交互。

CVE-2026-95764CVSS 5.7

API 证书校验漏洞可泄露敏感信息

API 证书校验漏洞可泄露敏感信息。要求邻接网络访问、无需预先认证，并需要用户交互。

CVE-2026-95765CVSS 5.4

Web 管理界面可泄露敏感信息

Web 管理界面可泄露敏感信息。要求远程网络访问、无需预先认证，并需要用户交互。

CVE-2026-95766CVSS 5.3

信息泄露漏洞可向低权限账户暴露敏感数据

信息泄露漏洞可向低权限账户暴露敏感数据。要求远程网络访问、低权限账户，无需用户交互。

CVE-2026-95767CVSS 5.3

API 可泄露敏感系统信息

API 可泄露敏感系统信息。要求远程网络访问、无需预先认证，无需用户交互。

CVE-2026-95768CVSS 5.3

额外前提下，API 漏洞可泄露敏感信息

额外前提下，API 漏洞可泄露敏感信息。要求远程网络访问、低权限账户，无需用户交互。

CVE-2026-95769CVSS 5.3

API 可伪造审计记录中的客户端地址

API 可伪造审计记录中的客户端地址。要求远程网络访问、无需预先认证，无需用户交互。

CVE-2026-95770CVSS 4.7

额外前提下，操作系统漏洞可泄露本地敏感数据

额外前提下，操作系统漏洞可泄露本地敏感数据。要求本地访问、低权限账户，无需用户交互。

CVE-2026-95771CVSS 4.3

API 端点可泄露有限的系统信息

API 端点可泄露有限的系统信息。要求远程网络访问、低权限账户，无需用户交互。

CVE-2026-95772CVSS 4.2

API 竞争条件可破坏配置状态

API 竞争条件可破坏配置状态。要求远程网络访问、低权限账户，无需用户交互。

CVE-2026-95773CVSS 3.8

本地拒绝服务可部分干扰同一主机上的其他工作负载

本地拒绝服务可部分干扰同一主机上的其他工作负载。要求本地访问、低权限账户，无需用户交互。

CVE-2026-95774CVSS 3.7

远程信息泄露漏洞可暴露敏感数据

远程信息泄露漏洞可暴露敏感数据。要求远程网络访问、无需预先认证，无需用户交互。

CVE-2026-95775CVSS 3.3

操作系统文件泄露漏洞可读取部分本地文件

操作系统文件泄露漏洞可读取部分本地文件。要求本地访问、低权限账户，无需用户交互。

CVE-2026-95776CVSS 3.1

额外前提下，API 路径遍历可读取部分操作系统文件

额外前提下，API 路径遍历可读取部分操作系统文件。要求远程网络访问、低权限账户，无需用户交互。

CVE-2026-95777CVSS 3.1

管理接口可泄露存储的敏感数据

管理接口可泄露存储的敏感数据。要求远程网络访问、低权限账户，无需用户交互。

修复版本

产品安全版本备注
HPE Networking Fabric Composer 7.4.x7.4.1受支持
HPE Networking Fabric Composer 7.3.x7.3.5受支持
已终止维护或支持的分支无修复迁移至受支持版本

案发时间线

  1. 11 月 3 日 16:00 UTC

    HPE 发布 HPESBNW05172 第 1 版

    官方 CSAF 标注该发布时间，并列明全部 46 个漏洞、修复分支及管理接口隔离建议。

各方说法

我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。

  • HPE HPESBNW05172 第 1 版一手来源11 月 3 日完整公告：46 个 CVE、受支持修复版本、过时分支限制、各漏洞前提及管理隔离建议。HPE 表示发布时未发现公开利用代码。
  • HPE 官方 CSAF 公告一手来源同一公告的机器可读版本，不是独立报告；确认 16:00 UTC 发布时间、评分及访问要求。

同一时期的其他几坨

L4 · 2026年11月3日GitBook 基础设施遭入侵，吊销 API 令牌并要求轮换关联密钥L4 · 2026年11月3日Sovryn 披露 Rootstock 借贷和 AMM 攻击，提款仍暂停L3 · 2026年11月3日Docker Desktop 4.98 修复内核 TCP 漏洞及 WSL 2 通信限制绕过