每日高危漏洞速报 2026-01-23（6 条）
每日高危漏洞速报 · 2026-01-23
共收录 6 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述
当日收录 6 条高价值漏洞，其中最值得警惕的是 Broadcom VMware vCenter Server 的 DCERPC 协议越界写漏洞（CVE-2024-37079）：该漏洞已被在野利用并列入 KEV，且 vCenter 属于广泛部署的虚拟化核心组件，应作为今日最高优先级修补对象。其余 5 条均为 9 分以上的未在野利用漏洞，集中在 Git 类协作与开发工具链上。Soft Serve 存在可冒充任意用户的关键认证绕过，Gitea 连发三条越权校验缺陷，github-kanban-mcp-server 则存在命令注入导致的远程代码执行。这类工具通常直接承载源码与研发流程，一旦失守影响面不亚于边界设备，建议紧随 vCenter 之后尽快修复。
今日收录
- CVE-2026-24058 —
9.8— Soft Serve 0.11.2 及以下存在认证绕过，攻击者可冒充任意用户。 - CVE-2026-0756 —
9.8— github-kanban-mcp-server 存在 execAsync 命令注入，可远程执行任意代码。 - CVE-2026-20750 —
9.1— Gitea 组织项目操作未校验归属，可以跨组织修改项目。 - CVE-2026-20897 —
9.1— Gitea 删除 LFS 锁未校验仓库归属，可越权删除他库锁。 - CVE-2026-20912 —
9.1— Gitea 发布附件关联未校验归属，可将私有库附件挂至公开版本。 - CVE-2024-37079 —
0.0— vCenter Server DCERPC 存在越界写，可被具有网络访问权限的攻击者利用。 [KEV]