KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2026-26190 的安全漏洞（危害等级：严重）已公开披露，相关用户应尽快排查并完成修复。
漏洞介绍
milvus是The Milvus Project开源的一个高性能的云原生矢量数据库。Milvus 在默认部署配置中，会在 9091 端口（Metrics端口）暴露 RESTful API 和调试接口。例如 /expr 表达式执行接口接受 auth 和 code 两个参数，其中 auth 参数的默认值为 by-dev（即 Milvus 配置项 etcd.rootPath 的默认值），该值为公开已知的硬编码字符串，攻击者可直接使用该值绕过认证，执行任意 Go 表达式，造成敏感信息泄漏或者代码执行。
影响范围
应用：milvus milvus（影响面 Up to (excluding) 2.5.27）
应用：milvus milvus（影响面 Up to (excluding) 2.6.10）
解决方案
1、升级Milvus至最新版本
2、利用安全组设置Milvus 90901端口仅对可信地址开放
参考信息
https://github.com/milvus-io/milvus/commit/92b74dd2e286006a83b4a5f07951027b32e718a9
https://github.com/milvus-io/milvus/releases/tag/v2.5.27
https://github.com/milvus-io/milvus/releases/tag/v2.6.10
https://github.com/milvus-io/milvus/security/advisories/GHSA-7ppg-37fh-vcr6
KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。