Umbraco CMS 后台越权与 SignalR 未授权 升到 17.7.1 或 18.2.1

Umbraco 在 10 月 6 日发了一份安全公告，四个洞，两个 moderate 两个 low，影响 CMS 17 和 18 两条线。官方当天就放了修复版本。我把公告和第三方给的 CVE 条目对了一遍，版本区间和修复版本号是吻合的，但两边的表述方式不一样，这点后面说清楚。

先照官方原文写是什么问题。

第一个 moderate：内容版本的访问限制没有生效。后台某些内容版本功能的访问检查不完整，结果是已认证的后台用户可以看本来没授权给他的内容，包括内容树里不属于他的部分，未发布内容和历史版本也在内。官方明确说了这需要有效的后台账号并且有 Content 区访问权限，匿名利用不了。

第二个 moderate：受限用户能删掉权限范围之外的媒体文件。后台媒体管理存在访问控制弱点，特定条件下，媒体权限受限的后台用户可以导致其授权范围之外的媒体文件被删除。官方提醒了一句，删掉的文件如果没有备份可能找不回来。

另外两个是 low，官方没有展开细讲。



受影响版本区间：17.0.0 - 17.7.0，18.0.0 - 18.2.0。修复版本是 17.7.1 和 18.2.1。

这里有个容易漏的点，官方单独拎出来讲过：如果你的站点或者你装的某个包提供了自定义的 media path scheme，光升级并不能完全解决那个媒体漏洞（GHSA-7pj9-jmp9-p86q），还要按官方文档补一步。官方也说这不是常见的扩展点，所以多数站点不受影响，但如果是自己改过媒体路径的，别升完就以为完事了。

官方对"暂时升不了"这件事的表态很干脆：升级是唯一完整的修复，没有能在配置层面完全绕过去的办法。能做的是降低暴露——把后台访问尤其是 Content 和 Media 两个区收窄到可信用户，确认后台账号和 API 账号只拿到必需的权限，尽可能把后台限定在可信网络内。还有一条我觉得值得照做：如果你的站点依赖文件上传限制，配一份明确的文件扩展名白名单，别依赖默认的黑名单。

Umbraco Cloud 上的项目官方当天自动升级，不用操作。跑在 EOL 版本的，官方不给补丁，建议升到 17（LTS）或 18。

然后是第三方那条，我要把话说准。

VulnCheck 在 10 月 16 日发布了 CVE-2026-111624，描述是 Umbraco CMS 17.7.1 和 18.2.1 之前版本的 SignalR Hubs 缺失授权（CWE-306），未认证客户端可以连上后台的 PreviewHub 和 BackofficeHub，完成 SignalR negotiate 之后能收到刷新通知，这些通知会泄露内容 key，包括未发布内容的 key，还能暴露编辑活动的时间。CVSS v4.0 是 6.3，v3.1 是 3.7。披露时间线写的是 10 月 6 日由 VulnCheck 披露，10 月 16 日 CVE 编号保留并发布。

影响区间写的是 Umbraco-CMS 17.0.0 – < 17.7.1，18.0.0 – < 18.2.1，修复版本 17.7.1 / 18.2.1。

我要如实说明的是：Umbraco 官方那份 10 月 6 日的公告里没有列出 CVE 编号，只写了四个漏洞的等级和两个 moderate 的细节，没有提 SignalR。VulnCheck 这条给了 CVE 编号和技术细节，版本区间与修复版本跟官方完全一致，但"官方那四个洞里是否就包含这一个"我没找到官方明确对应关系，所以不做合并断言。两条信息并列放着，你自己判断要用哪条做升级依据——反正升级动作是一样的：升到 17.7.1 或 18.2.1。

核对说明：受影响版本区间（17.0.0-17.7.0 / 18.0.0-18.2.0）与修复版本（17.7.1 / 18.2.1）在 Umbraco 官方公告与 VulnCheck 条目两处独立来源上完全一致。官方给出的等级是 2 moderate + 2 low 且未列 CVE 编号；VulnCheck 给出 CVE-2026-111624，CVSS v4.0 6.3 / v3.1 3.7，CWE-306，两处评级口径不同且官方未确认对应关系，帖中未合并。自定义 media path scheme 的补充处置步骤出自官方公告原文。

来源：
Umbraco 官方安全公告（2026 年 10 月 6 日）
https://umbraco.com/blog/security-advisory-october-6-2026-security-patches-for-umbraco-cms-now-available/
GitHub 安全公告 GHSA-7pj9-jmp9-p86q
https://github.com/umbraco/Umbraco-CMS/security/advisories/
VulnCheck 条目 CVE-2026-111624
https://vulncheck.com/advisories/umbraco-cms-before-17.7.1-and-18.2.1-missing-authorization-on-signalr-hubs
GitHub 安全公告 GHSA-4c5q-6c64-96j7
https://github.com/umbraco/Umbraco-CMS/security/advisories/GHSA-4c5q-6c64-96j7

**HKTULU**
2026-10-25