每日高危漏洞速报 2026-01-22（7 条）
每日高危漏洞速报 · 2026-01-22
共收录 7 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述 当日 7 条情报中有 4 条已被标记为在野利用（KEV），风险重心明显偏向“已被实际攻击”而非单纯的高分漏洞。其中 Zimbra ZCS 的远程文件包含、Versa Concerto 的认证绕过属可直接触达管理面的企业级产品缺陷，暴露面大、利用门槛低，应作为当日首要修补对象。同时 Vite 开发服务器越权读取与 eslint-config-prettier 供应链投毒分别指向开发环境与依赖链，两者常被忽视却可直通源码与主机。三条 CVSS 9.0 以上新漏洞（Fleet、Elementor 插件、hustoj）虽暂未见在野利用，但均具备未授权或低权限触发条件，建议纳入本周内修复窗口。
今日收录
- CVE-2026-23518 —
9.8— Fleet Windows MDM 注册流程校验缺失，攻击者可越权提交注册请求 - CVE-2026-0920 —
9.8— Elementor 插件 1.5.6.3 及以下注册接口缺权校验，可创建管理员账号 - CVE-2026-23873 —
9.0— hustoj 全版本竞赛排名导出存在 CSV 公式注入，可诱导管理员执行 - CVE-2025-68645 —
0.0— Zimbra ZCS 的 /h/rest 端点存在 PHP 远程文件包含，可构造请求利用 [KEV] - CVE-2025-34026 —
0.0— Versa Concerto 的 Traefik 反代配置认证不当，可直访管理端点 [KEV] - CVE-2025-31125 —
0.0— Vite 开发服务器经 ?inline&import 等参数越权读取非允许文件 [KEV] - CVE-2025-54313 —
0.0— eslint-config-prettier 被植入恶意代码，安装即释放 node-gyp.dll [KEV]