漏洞预警 - 卫方智能网络安全资讯平台

HPE Fabric Composer 修复 52 个漏洞：两枚 CVSS 10.0 可致未认证完全接管

2026年9月3日作者卫方智能

HPE 发布紧急公告修复 Aruba Networking Fabric Composer 52 个漏洞，其中 API 认证绕过与 SSH 守护进程绕过均达 CVSS 10.0，未认证攻击者可完全接管主机，影响 7.3.3 及更早版本。

2026年9月3日作者卫方智能

F5 披露 NGINX JavaScript（njs）XML 模块越界写入漏洞 CVE-2026-78689，未认证远程攻击者可致 worker 崩溃或内存增长，官方 nginx-saml 参考实现受影响。

2026年9月2日作者卫方智能

cPanel & WHM 修复 CVE-2026-65643：任何拥有域名停放权限的普通托管账户，可在多租户服务器上创建任意文件并以 root 身份执行代码，单个恶意租户即可危及全服所有站点。

2026年9月2日作者卫方智能

WatchGuard 发布安全公告，一次性修复 Fireware OS 与 Dimension 平台 26 个漏洞，其中 iked 进程三个 CVSS 9.3 严重漏洞可被未认证攻击者远程代码执行，直接击穿防火墙防线。

2026年9月2日作者卫方智能

Sangoma Switchvox SMB 曝出未认证 SQL 注入漏洞 CVE-2026-9586（CVSS 9.3），蜜罐已捕获真实攻击，攻击者借助 PostgreSQL COPY TO PROGRAM 机制实现 root 级远程代码执行。

2026年9月1日作者卫方智能

Ubiquiti 发布安全公告 067，修复 UniFi Protect、UniFi OS 与 UniFi Talk 中三个 CVSS 10.0 漏洞，未授权攻击者可实现命令注入与认证绕过，超 10 万实例暴露公网。

2026年9月1日作者卫方智能

ServiceNow 于 8 月 27 日发布安全公告，修复 AI 平台三个 CVSS 10.0 漏洞，未授权攻击者可执行任意代码、提权至管理员并直接操作底层数据库。

2026年9月1日作者卫方智能

Ruby on Rails 确认 CVE-2026-66066（CVSS 9.5）遭在野利用，攻击者串联 Active Storage 文件读取与反序列化缺陷实现未授权 RCE，约 7000 个实例暴露公网。

2026年9月1日作者卫方智能

PaperCut 发布第二轮紧急更新，修复 NG/MF 打印管理软件中两个可串联利用的高危漏洞，攻击者无需凭证即可实现远程代码执行，厂商已确认在野利用。

2026年8月31日作者卫方智能

AVideo 直播重推流端点 token 校验失效且加密使用 AES-256-CBC 固定 IV 无 MAC，攻击者借助公开加密预言机即可伪造 token 任意读取推流密钥，CVSS 4.0 9.2 严重等级。

2026年8月31日作者卫方智能

Yamcs 5.12.8/5.13.2 之前版本将 templateArgs 直接拼入 YAML 配置且未转义，攻击者可注入任意 YAML 触发解析与远程代码执行；公开 PoC 已出现，CVSS 9.8 严重等级。

2026年8月31日作者卫方智能

Langflow 1.0.0 至 1.11.1 A2A 公共端点代码执行防护失效，CVSS 9.8；未认证攻击者只需向暴露的智能体流发送请求即可在服务器上执行任意系统命令，AI/ML 流水线面临远程接管风险。