硬编码凭证 - 卫方智能网络安全资讯平台

Claude Code 的「不再询问」把密码写进项目文件，GitHub 上 1122 份公开副本带密钥

2026年11月8日作者卫方智能

Apiiro 研究发现，Claude Code 把用户批准的命令原文写入 .claude/settings.local.json，GitHub 上 1122 份公开副本含至少一个密钥，累计 1379 个凭证，其中 379 个是数据库口令。

2026年11月1日作者卫方智能

独立研究者扫描 Gitee 全部 725 万个公开仓库，逐一调用厂商接口验证，确认 26,400 个云与 AI 凭证当前仍然有效，其中阿里云 AccessKey 9,473 组、DeepSeek 3,170 个、OpenAI 1,348 个。

2026年10月11日作者卫方智能

CISA 发布 ICSA-26-281-02，通报电网监测平台 openPDC/openHistorian 五个漏洞，含 CVE-2026-100730 未认证反序列化 RCE 与 Docker 镜像硬编码管理员凭据，均为 CVSS 9.8，官方已给出修复版本。

2026年10月4日作者卫方智能

Dell 发布 DSA-2026-448，修复容器存储模块 CSM 的 6 个严重漏洞，其中 CVE-2026-63688/63692 达到 CVSS 10.0，未认证攻击者可获取存储后端管理员凭证并接管授权服务。

2026年9月21日作者卫方智能

SolarWinds 9 月 17 日修补 Access Rights Manager 的硬编码静态密钥缺陷，攻击者可用固化密钥伪造认证令牌实现未认证远程代码执行，CVSS 8.8，修复版 2026.2.1，同期 Web Help Desk 与 Serv-U 共修复 18 个漏洞。

2026年9月21日作者卫方智能

IBM 于 9 月 16 日披露 Guardium Data Protection 12.2 的 20 余个漏洞，其中 4 个 CVSS 9.9、5 个 CVSS 9.8，涉及 LoadBalancerServlet 缺失认证与未认证反序列化 RCE，官方补丁已发布。

2026年9月18日作者卫方智能

开源统一通信平台 Issabel Framework 存在硬编码 HS256 JWT 签名密钥，所有安装实例密钥相同，未认证攻击者可伪造令牌调用 Asterisk 执行系统命令。CVSS 9.8，Shadowserver 已观测到在野利用。

2026年9月17日作者卫方智能

CISA 发布多份 ICS 通告：Digital Watchdog VMAX 系列 DVR/NVR 存在 6 个漏洞，两个 CVSS 9.6，含硬编码凭证与 root 级命令执行；Wärtsilä FOS-Onboard 船舶系统存在硬编码加密密钥。