每日高危漏洞速报 2026-01-20（10 条）
每日高危漏洞速报 · 2026-01-20
共收录 10 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述 当日收录 10 条高价值漏洞，CVSS 分数集中在 9.1–9.8，均未标记 KEV，暂未见在野利用。风险主要涉及广泛使用的 ImageMagick 与 Google Chrome：前者包含堆缓冲区溢出，后者包含 UI 欺骗与敏感信息泄露。MyTube、Arcane、Tugtainer 等自托管工具的未认证访问和凭据传输问题应优先排查，WordPress 插件与 CRMEB 的提权、认证缺陷同样值得关注。建议优先修补面向互联网的 ImageMagick、Chrome 及自托管服务。
今日收录
- CVE-2026-23837 —
9.8— MyTube 1.7.65 及更早版本中，未认证用户可绕过强制认证机制。 - CVE-2026-23944 —
9.8— Arcane 1.13.2 前未认证请求可代理至远程环境 agent，导致越权访问。 - CVE-2026-1202 —
9.8— CRMEB 5.6.3 及以下 appleLogin 函数可被操纵，存在安全缺陷。 - CVE-2026-22770 —
9.8— ImageMagick BilateralBlurImage 缓冲区分配缺陷，可触发内存安全问题。 - CVE-2026-23876 —
9.8— ImageMagick 7.1.2-13 与 6.9.13-38 前 XBM 解码器堆溢出。 - CVE-2026-0905 —
9.8— Chrome 144.0.7559.59 前 Network 策略不足，持有网络日志者可获取敏感信息。 - CVE-2026-0906 —
9.8— Chrome Android 144.0.7559.59 前地址栏 UI 可被构造 HTML 欺骗。 - CVE-2026-0907 —
9.8— Chrome 144.0.7559.59 前 Split View 存在 UI 欺骗，需构造 HTML 页面。 - CVE-2025-14533 —
9.8— WordPress ACF Extended 0.9.2.1 及以下因 insert_user 限制不足可提权。 - CVE-2026-23846 —
9.1— Tugtainer 1.16.1 前通过 URL 查询参数传输密码，凭据易泄露。