MCSManager 紧急安全公告：v10.4.0~v10.16.2 存在权限绕过漏洞，请立即升级 - 云VPS测评网

MCSManager 安全漏洞紧急公告：单一用户权限绕过风险

发布日期： 2026年7月22日

严重级别：高危

影响版本： v10.4.0 至 v10.16.2

修复版本： v10.16.3 / v10.17.0+

漏洞概述

MCSManager（简称 MCSM）开发团队近日发现并修复了一个严重的安全问题。该漏洞存在于 v10.4.0 到 v10.16.2 之间的所有版本，攻击者可以在单一用户环境下，通过构造特定的 API 密钥请求，绕过用户权限控制机制。

这意味着，在同一台服务器或同一用户账户下运行的多个 MCSManager 实例中，恶意用户可能利用此漏洞获取超出其授权范围的访问权限，从而控制本不应由其管理的服务器实例或敏感配置。

影响范围

项目详情
受影响版本 v10.4.0 v10.16.2
安全版本 v10.16.3 及以上 / v10.17.0 及以上
攻击条件单一用户环境（如共享服务器、多实例部署）
漏洞类型权限绕过 / 访问控制缺陷

注意：如果您的 MCSManager 部署在独立用户环境或单实例模式下，风险相对较低，但仍建议尽快升级。

修复方案

方案一：立即升级（推荐）

请尽快将 MCSManager 升级至安全版本：

v10.16.3（安全补丁版本）
v10.17.0 或更高版本（包含完整安全修复的功能版本）

升级方式：

Linux（一键脚本安装的用户）：

sudo su -c "wget -qO- https://script.mcsmanager.com/setup.sh | bash"

升级后，如需关闭 Web 面板，请执行：

systemctl stop mcsm-web && systemctl disable mcsm-web

Windows 或手动安装的用户：

访问官方发布页面下载最新版本：GitHub Releases - v10.17.0
备份 web/data 和 daemon/data 目录
覆盖安装最新版本文件
在 web 和 daemon 目录下分别执行 npm install --production 更新依赖

重要提示：升级前务必备份数据目录，以防意外情况发生。

方案二：临时缓解措施（无法立即升级时）

如果您的环境暂时无法升级，请在反向代理层（如 Nginx、Apache、Traefik 等）配置以下拦截规则，作为临时防护：

拦截目标：

请求参数中的 apikey
请求头中的 x-request-api-key

拦截规则：
若上述参数中包含非 [A-Za-z0-9-_] 字符（即除字母、数字、下划线和连字符外的任何字符），则直接拒绝该请求。

Nginx 配置示例：

# 拦截非法 apikey 参数
if ($arg_apikey ~* [^A-Za-z0-9\-_]) {
    return 403;
}

# 拦截非法 x-request-api-key 请求头
map $http_x_request_api_key $invalid_api_key {
    "~*[^A-Za-z0-9\-_]" 1;
    default 0;
}

server {
    # ...
    if ($invalid_api_key) {
        return 403;
    }
}

此临时方案可有效阻断利用该漏洞的攻击路径，但不能替代官方补丁，请尽快安排升级。

安全建议

立即核查版本：检查您当前运行的 MCSManager 版本是否在受影响范围内。
优先升级：如条件允许，请在维护窗口期内尽快完成升级。
监控异常：检查近期日志中是否存在异常的 API 访问记录，特别是包含特殊字符的 apikey 或 x-request-api-key 请求。
隔离部署：在多用户共享服务器环境中，考虑为不同用户或团队部署独立的 MCSManager 实例，降低横向移动风险。

参考链接

GitHub 官方发布页： MCSManager v10.17.0 Release