issue处理注意事项:
1. 当前issue受影响的分支提交pr时, 须在pr描述中填写当前issue编号进行关联, 否则无法关闭当前issue;
2. 模板内容需要填写完整, 无论是受影响或者不受影响都需要填写完整内容,未引入的分支不需要填写, 否则无法关闭当前issue;
3. 以下为模板中需要填写完整的内容, 请复制到评论区回复, 注: 内容的标题名称(影响性分析说明, opengauss评分, 受影响版本排查(受影响/不受影响))不能省略,省略后cve-manager将无法正常解析填写内容.
影响性分析说明:
漏洞评分(opengauss评分):
BaseScore: x.x(浮点格式)
Vector:
受影响版本排查(受影响/不受影响):
1.master:
This issue requires an assignee. Since you haven't specified one, we've assigned TestManager as the default assignee for this issue.
Welcome To openGauss Community
Hey @opengauss_bot , thanks for your contribution to the community.
Bot Usage Manual
I'm the Bot here serving you. You can find the instructions on how to interact with me at Here . That means you can comment below every pull request or issue to trigger Bot Commands.
Contact Guide
If you have any questions, please contact the SIG: Tools ,
and any of the maintainers: @CarrotGo, @chendong76, @chenxiaobin19, @congzhou2603, @dodders, @hwworkholic, @jemappellehc, @muyulinzhong, @quemingjian, @shenzheng4, @shirley_zhengx, @superlchf, @totaj, @wlff234, @wofanzheng, @ywzq1161327784 ,
and any of the committers: @Louisyzh, @hw_hbj, @justbk, @libiao2024, @wang4721, @wang_xingmiao, @zengseliang, @zhangxubo .
This issue requires an assignee. Since you haven't specified one, we've assigned TestManager as the default assignee for this issue.
自验证：
影响性分析说明: logback-classic 在 0.9.14～1.6.2 中，MDCBasedDiscriminator 未净化的 MDC 值可进入 SiftingAppender 嵌套 FileAppender 路径，造成目录穿越写日志（CWE-22）。修复线 1.6.3（见 CVE-2026-19880、logback 1.6.3）。利用需 SiftingAppender 启用 且攻击者可影响 MDC。
与本仓库 master 的对应关系：
主平台默认使用 log4j2（排除 spring-boot-starter-logging）。但 InstanceExporter 显式依赖 logback-classic 1.5.28（落在 0.9.14～1.6.2）。其 logback-spring.xml 仅为 Console/RollingFileAppender，未见 SiftingAppender；组件版本仍属受影响区间。
漏洞评分(openGauss评分):
BaseScore: 6.3
Vector: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:L/VI:L/VA:L/SC:N/SI:N/SA:N
受影响版本排查(受影响/不受影响)：
1.master: 受影响
经过cve-manager解析，已分析的内容如下表所示：
| 状态 | 分析项目 | 内容 |
|---|---|---|
| 已分析 | 影响性分析说明 | logback-classic 在 0.9.14～1.6.2 中，MDCBasedDiscriminator 未净化的 MDC 值可进入 SiftingAppender 嵌套 FileAppender 路径，造成目录穿越写日志（CWE-22）。修复线 1.6.3（见 CVE-2026-19880、logback 1.6.3）。利用需 SiftingAppender 启用 且攻击者可影响 MDC。与本仓库 master 的对应关系：主平台默认使用 log4j2（排除 spring-boot-starter-logging）。但 InstanceExporter 显式依赖 logback-classic 1.5.28（落在 0.9.14～1.6.2）。其 logback-spring.xml 仅为 Console/RollingFileAppender，未见 SiftingAppender；组件版本仍属受影响区间。 |
| 已分析 | BaseScore | 6.3 |
| 已分析 | Vector | CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:L/VI:L/VA:L/SC:N/SI:N/SA:N |
| 已分析 | 受影响版本排查 | master:受影响 |
请确认分析内容的准确性, 确认无误后, 您可以进行后续步骤, 否则您可以继续分析.
pr已合入，问题单关闭
一、漏洞信息
漏洞编号：CVE-2026-19880
漏洞归属组件：logback-classic, https://gitcode.com/opengauss/openGauss-workbench
漏洞归属的版本：1.2.11,1.2.6
CVSS分值：
BaseScore： N/A None
Vector： N/A
漏洞简述：
Path-traversal vulnerability in QOS.CH Sarl Logback-classic on Java (logback-classic module) allows path-traversal vulnerability. More specifically, an
MDC-based discriminator value flows unsanitized into a nested
FileAppender path, letting an attacker who influences that MDC value
(e.g. via an HTTP header)
create and append log files outside the intended directory.
This issue affects Logback-classic: from 0.9.14 through 1.6.2.
漏洞公开时间：2026-08-14 23:17:09
漏洞创建时间：2026-08-16 22:10:15
漏洞详情参考链接：
https://nvd.nist.gov/vuln/detail/CVE-2026-19880
漏洞补丁信息：
二、漏洞分析结构反馈
影响性分析说明：
logback-classic 在 0.9.14～1.6.2 中，MDCBasedDiscriminator 未净化的 MDC 值可进入 SiftingAppender 嵌套 FileAppender 路径，造成目录穿越写日志（CWE-22）。修复线 1.6.3（见 CVE-2026-19880、logback 1.6.3）。利用需 SiftingAppender 启用 且攻击者可影响 MDC。
与本仓库 master 的对应关系：
主平台默认使用 log4j2（排除 spring-boot-starter-logging）。但 InstanceExporter 显式依赖 logback-classic 1.5.28（落在 0.9.14～1.6.2）。其 logback-spring.xml 仅为 Console/RollingFileAppender，未见 SiftingAppender；组件版本仍属受影响区间。
漏洞评分(openGauss评分):
BaseScore： 6.3
Vector： CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:L/VI:L/VA:L/SC:N/SI:N/SA:N
受影响版本排查(受影响/不受影响)：
1.master:受影响