▲嚴重漏洞進行中已遭利用已有修補2026年11月10日法國 Vates 11 月 10 日發布 Xen Orchestra 安全公告 VSA-2026-062，指出 REST API 會把 authenticationToken=j:%7B%7D 這種內容為空物件的 cookie 當成不篩選的查詢，直接以第一個未過期權杖的擁有者身分登入，並確認此漏洞已遭攻擊者實際利用 。