网络安全

AVideo 视频直播平台曝流密钥未认证泄露漏洞 CVE-2026-82645：YouTube/Twitch/Facebook 直播凭证可被任意窃取

作者

AVideo 直播重推流端点 token 校验失效且加密使用 AES-256-CBC 固定 IV 无 MAC，攻击者借助公开加密预言机即可伪造 token 任意读取推流密钥，CVSS 4.0 9.2 严重等级。

Yamcs 任务控制框架曝 YAML 注入致 RCE 漏洞 CVE-2026-55559：航天与关键基础设施任务控制系统面临未授权远程接管

作者

Yamcs 5.12.8/5.13.2 之前版本将 templateArgs 直接拼入 YAML 配置且未转义，攻击者可注入任意 YAML 触发解析与远程代码执行；公开 PoC 已出现，CVSS 9.8 严重等级。

IBM Langflow OSS 曝三枚严重 RCE 漏洞 CVE-2026-19286/19295/18729：AI 工作流编排平台无需认证即可执行任意代码

作者

Langflow 1.0.0 至 1.11.1 A2A 公共端点代码执行防护失效，CVSS 9.8；未认证攻击者只需向暴露的智能体流发送请求即可在服务器上执行任意系统命令，AI/ML 流水线面临远程接管风险。

argocd-mcp 曝 CVSS 10.0 满分未认证接管漏洞：Kubernetes GitOps 流水线沦为开放控制器

作者

argocd-mcp 0.8.0 在配置 ARGOCD_API_TOKEN 时将 MCP 服务监听绑定到 0.0.0.0 且不验证调用方凭证，CVSS 10.0 满分；任何能触达监听端口的攻击者都可借此完全控制 Argo CD 实例并部署任意清单。

JFrog Artifactory 默认配置曝认证绕过漏洞 CVE-2026-82329：自托管 CI/CD 制品库面临未认证管理员接管

作者

JFrog 披露 Artifactory 默认配置下未认证攻击者可直接获取完整管理员权限，CVSS 9.8 严重等级；OpenAI 失控 AI 智能体在内部研究中已成功利用该缺陷，供应链投毒风险急剧上升。

Cosmos EVM 共享模块整数下溢漏洞六连发被盗 572 万美元：沉默补丁流程让攻击窗口延长

作者

Cosmos Labs 8 月 28 日复盘报告披露 GHSA-7g4w-cg88-2cq2 漏洞：攻击者利用 Cosmos EVM 余额校验中的整数下溢把账户余额回绕至 2^256-1，在六条 Cosmos 系公链上合计盗走约 572 万美元。漏洞早在 4 月 25 日通过赏金计划提交，维护方误判影响面并仅以”静默补丁”流程下发补丁，导致攻击窗口超过 11 小时，包括 MANTRA 在内的多家链遭受重大损失。

Cloud Commander 目录遍历漏洞 CVE-2026-82460：任意文件读写可致远程代码执行

作者

Cloud Commander 8 月 29 日发布 19.20.2 修复 CVE-2026-82460（CVSS 3.1 9.8/CVSS 4.0 9.3，CWE-22 路径穿越）。REST 文件操作与 Markdown 渲染端点对路径标准化校验缺失，未认证攻击者可借助 ../ 序列在沙箱根目录之外任意读取、写入、移动或复制文件，进而通过覆盖 SSH authorized_keys 或应用配置文件达成远程命令执行。

VMware vCenter 路径遍历漏洞遭中国关联 APT 利用部署 Babuk 勒索软件：361 台 IP 横跨 47 国

作者

德国取证公司 QUIRSO 公开报告：CVE-2026-59310（CVSS 9.8）+ CVE-2026-59309 vCenter 认证绕过组合 7 月 29 日 Broadcom 披露后仅 5 天即被利用，攻击者通过 Syslog 路径遍历落地后投放 reverse_ssh 持久化通道，最终在 ESXi 上触发 .babyk 后缀的 Babuk 系勒索软件加密器。受害 IP 361 个，覆盖 47 国，德国/美国/土耳其/伊朗/法国位列前五。

GiveWP WordPress 捐赠插件曝未认证 CVSS 10.0 RCE：10 万站点面临完整服务器接管威胁

作者

Patchstack 披露 GiveWP WordPress 捐赠插件 CVE-2026-82222，CVSS 3.1 评分 10.0 满分，未认证攻击者通过注册绕过 + 反序列化 + 捆绑库 gadget chain 三步链条，可向主机执行任意系统命令。全球超 10 万 WordPress 站点受影响，4.16.6 至 4.16.7.1 之间全部版本必须升级至 4.16.7.2。