漏洞预警 - 卫方智能网络安全资讯平台

CVE-2026-108263：讯飞 Astron Agent 代码节点未沙箱致跨租户 RCE

2026年10月11日作者卫方智能

讯飞开源智能体工作流平台 Astron Agent 暴露 CVE-2026-108263，CVSS 9.9。默认代码节点走未沙箱的本地执行器，低权限租户可提交 Python 以 root 身份在共享容器内执行，跨租户读取数据与共享凭据，1.1.2 已修复。

2026年10月10日作者卫方智能

安全团队 V12 公开了针对 AnyDesk Linux 的完整利用代码 AnyPwn，可经 TCP 7070 端口在预认证阶段触发堆溢出，以 root 权限执行任意命令。漏洞已在 8.0.3 修复，但官方未分配 CVE 也未发布安全公告。

2026年10月10日作者卫方智能

备份管理控制台 AhsayCBS 曝两个漏洞，编号 CVE-2026-105133 与 CVE-2026-105134。攻击者可串接二者实现未认证 SYSTEM 权限远程代码执行，10 月 7 日起在野利用，最新版 10.3.4 仍受影响且暂无补丁。

2026年10月10日作者卫方智能

WordPress 插件 Bricksforge 被曝未认证任意文件上传漏洞，编号 CVE-2026-85097，CVSS 最高 10.0。攻击者 10 月 7 日起大规模利用，上传 GIF/PHP 多态文件即可执行任意代码，官方已在 3.1.8.10 修复。

2026年10月9日作者卫方智能

SonicWall 于 10 月 6 日发布 SNWLID-2026-0017，修复 SMA1000 网关四个漏洞，其中 WorkPlace 门户未认证 SSRF 评分满分 10.0，无需凭据即可驱动设备访问内部功能，官方未提供任何绕过方案。

2026年10月8日作者卫方智能

思科 10 月 7 日发布 NX-OS 安全加固公告，修复 7 个漏洞，其中 CVE-2026-76471 为 NX-API 未认证远程代码执行，CVSS 9.8，可致交换机以 root 权限被控或崩溃重启，无缓解措施。

2026年10月8日作者卫方智能

HPE 于 10 月 6 日发布安全公告 HPESBNW05158，披露 HPE Networking ClearPass Policy Manager 存在 28 个漏洞，其中 10 个严重级，含未认证反序列化 RCE（CVE-2026-76750，CVSS 9.8）与多处认证绕过。

2026年10月8日作者卫方智能

JFrog 披露 LMCache 多进程缓存服务未认证远程代码执行漏洞 CVE-2026-105192，CVSS 9.8，影响 0.3.9 至 0.5.5，官方尚无修复版本，暴露端口的 LLM 推理集群风险最高。

2026年10月7日作者卫方智能

LibreOffice 与 Apache OpenOffice 曝漏洞链，恶意表格打开即执行 Java 代码且不弹宏警告。LibreOffice 已修复为 CVE-2026-63277，OpenOffice 4.1.16 仍未修补。

2026年10月7日作者卫方智能

Atlassian 披露 CVE-2026-21589，CVSS 9.3。未认证攻击者可读取八款自托管 Data Center 产品 Web 根目录下的指定文件，官方已给出修复版本与临时缓解措施。

2026年10月6日作者卫方智能

独立研究员 Syed Anas Mohiuddin 披露，同类服务端请求伪造漏洞被谷歌、摩根大通、Weaviate、法国 DINUM 与印尼唐格朗市政府在各自的 MCP 服务器上修复，印证这是协议层的结构性缺陷，另有五个美国联邦 MCP 服务器仍待修补。

2026年10月6日作者卫方智能

开源身份提供商 ZITADEL 于 10 月 4 日协调披露 10 个认证绕过漏洞，其中 7 个为严重级。攻击者可在未通过主因素验证的情况下预劫持账户、跨组织注册密钥、绕过 MFA，3.x 分支已停止安全支持。