CVE-2026-90441 wgagent 会话初始化缺失授权漏洞
影响低权限用户可崩溃进程并读取守护进程可访问的任意文件
wgagent 管理守护进程的会话初始化函数存在缺失授权漏洞。已认证的低权限用户（包括只读或访客管理员账户）可通过构造特制的管理 API 请求触发该漏洞。攻击者可借此使 wgagent 进程崩溃，并读取守护进程权限范围内可访问的任意文件。
影响范围
受影响版本范围暂无公开信息，涉及 wgagent 管理守护进程。
漏洞详情
漏洞类型为缺失授权（Missing Authorization），成因是会话初始化函数未对调用者权限进行充分校验。已认证的低权限用户可发送特制管理 API 请求，导致进程崩溃并越权读取文件。利用方式为通过管理 API 接口提交恶意构造的会话初始化请求。
利用条件与风险
利用前提是攻击者需具备已认证的低权限账户（如只读或访客管理员）。实战中可造成服务拒绝及敏感文件信息泄露，风险较高。
修复建议
官方修复方案暂无公开信息，建议关注厂商补丁并及时升级。临时缓解措施包括限制管理 API 访问权限、最小化低权限账户数量并加强访问监控。
A missing authorization vulnerability in the wgagent management daemon’s session initialization function allows an authenticated, low-privileged user (including a read-only or guest administrator account) to crash the wgagent process and read arbitrary files accessible to the daemon by submitting a specially crafted management API request.