KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2025-62712 的安全漏洞（危害等级：高危）已公开披露，相关用户应尽快排查并完成修复。
漏洞介绍
JumpServer是一款开源堡垒主机和运维安全审计系统。在JumpServer v3.10.20-lts及v4.10.11-lts之前的版本中，经过身份验证的非特权用户可以通过超级连接API端点（/api/v1/authentication/super-connection-token/）检索到其他用户的连接令牌。当通过Web浏览器访问此端点时，它会返回所有用户创建的连接令牌，而不是将结果限制为请求者拥有或授权的令牌。攻击者获得这些令牌后，可以代表原始令牌所有者连接到管理的资产，从而导致敏感系统的未经授权访问和权限提升。此漏洞已在v3.10.20-lts和v4.10.11-lts版本中修复。
安全版本
3.10.20-lts
4.10.11-lts
影响范围
应用：fit2cloud jumpserver（影响面 Up to (excluding) 3.10.20）
应用：fit2cloud jumpserver（影响面 Up to (excluding) 4.10.11）
解决方案
1、升级至安全版本或以上
2、利用安全组设置其仅对可信地址开放
参考信息
https://github.com/jumpserver/jumpserver/commit/453ad331eec9d9667a38de735d6612608e558491
https://github.com/jumpserver/jumpserver/security/advisories/GHSA-6ghx-6vpv-3wg7
KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。