路径遍历 - 卫方智能网络安全资讯平台

CVE-2026-76471：思科 NX-API 未认证 RCE，同批 7 个漏洞需升级

2026年10月8日作者卫方智能

思科 10 月 7 日发布 NX-OS 安全加固公告，修复 7 个漏洞，其中 CVE-2026-76471 为 NX-API 未认证远程代码执行，CVSS 9.8，可致交换机以 root 权限被控或崩溃重启，无缓解措施。

2026年10月7日作者卫方智能

Atlassian 披露 CVE-2026-21589，CVSS 9.3。未认证攻击者可读取八款自托管 Data Center 产品 Web 根目录下的指定文件，官方已给出修复版本与临时缓解措施。

2026年10月6日作者卫方智能

戴尔在安全公告 DSA-2026-324 中修复 Dell System Update（DSU）五个漏洞。核心问题 CVE-2026-86360 属路径遍历，未认证远程攻击者可借此以 root 权限执行任意代码，官方建议升级到 DSU 2.3.0.0 或更高版本。

2026年10月3日作者卫方智能

Teledyne FLIR PackBot 与 FirstLook 机器人运行的 Aware2 软件存在未认证路径遍历漏洞 CVE-2026-55393，CVSS 4.0 满分 10.0，可远程读取配置与凭据文件，厂商已于 9 月 30 日发布补丁。

2026年10月2日作者卫方智能

Fortinet 10 月 1 日披露 FortiMail 管理界面路径遍历与 NULL 字节中和缺陷 CVE-2026-104286，未认证攻击者可通过构造 HTTP 请求写入任意文件并执行代码，CVSS 9.8，已在野利用并进入 CISA KEV。

2026年9月27日作者卫方智能

Zimbra 协作套件 OnlyOffice 组件曝未认证路径遍历漏洞，CVSS 9.8，攻击者借公开 Briefcase 文档篡改未签名字段即可写入文件并执行命令。官方修复版本 10.1.21，同批还修了三个 9.3 分存储型 XSS。

2026年9月24日作者卫方智能

WordPress 9 月 22 日发布 7.1.2，仅修复一处未认证路径遍历漏洞 CVE-2026-87902，CVSS 9.2。页面模板解析可被诱导包含主题目录之外的任意可读 PHP 文件，配合 register_argc_argv 与 PEAR 可升级为远程代码执行。

2026年9月23日作者卫方智能

Check Point 更新公告（AV26-902 Update 2）通报管理服务器与日志服务器产品线的目录遍历漏洞 CVE-2026-93616，未认证攻击者可上传并执行任意脚本，CVSS 9.8，CISA 已列入 KEV，联邦机构 9 月 25 日前须完成处置。

2026年9月22日作者卫方智能

LFI/RFI 文件包含漏洞防御实战：从动态包含点定位、白名单改造、allow_url_include 与 open_basedir 加固到 Nginx 拦截穿越与伪协议，附完整验证命令与绕过排查。

2026年9月16日作者卫方智能

压缩包条目名含 ../ 或符号链接时，解压可写入目标目录之外形成 WebShell。本文给出 Python 规范化前缀校验实现、Java ZipEntry 校验、命令行解压加固与容器隔离方案，并附恶意压缩包构造脚本与自动化验证断言。

2026年9月13日作者卫方智能

Plesk for Linux 备份额管理器被披露两个漏洞：CVE-2026-68487 路径遍历可写入任意 root 文件，CVE-2026-68488 符号链接竞态可本地提权，任意客户账户即可利用。

2026年9月12日作者卫方智能

GitLab 修复仓库提交 API 路径遍历漏洞 CVE-2026-85706，CVSS 10.0，未认证攻击者可用单个 HTTP 请求读取服务器任意文件，已列入 CISA KEV。