每日高危漏洞速报 2026-01-28（8 条）
每日高危漏洞速报 · 2026-01-28
共收录 8 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述 当日收录 8 条高危漏洞，评分集中在 9.1–9.9，但无一被标记为在野利用（KEV），暂无基于实际攻击的紧急升级依据。风险面主要集中在云原生与自托管运维平台——Kyverno、Dokploy、Dozzle 的授权绕过与命令注入缺陷，这类管理面板往往直接暴露在公网，一旦被扫描到即可能被直接接管。此外，Juniper Session Smart Router 的认证绕过与 CMS 消息解析栈溢出影响面较大、利用门槛较低，建议优先安排修补。WordPress 插件与 DNN 等 CMS 组件属单点应用缺陷，适合纳入批量资产排查而非单独立项。
今日收录
- CVE-2026-22039 —
9.9— Kyverno 1.16.3/1.15.3 前命名空间策略 apiCall 存在授权边界绕过，可越权调用。 - CVE-2026-24740 —
9.9— Dozzle 9.0.3 前 agent shell 端点存在缺陷，受标签过滤限制的用户可绕过约束。 - CVE-2026-24841 —
9.9— Dokploy 0.26.6 前 WebSocket 容器终端端点存在命令注入，可执行任意命令。 - CVE-2025-15467 —
9.8— 解析 CMS AuthEnvelopedData 时恶意 AEAD 参数触发栈缓冲区溢出，可致崩溃或代码执行。 - CVE-2025-21589 —
9.8— Juniper Session Smart Router 经备用路径绕过认证，网络攻击者可取得管理权限。 - CVE-2026-1056 —
9.8— WordPress Snow Monkey Forms 全版本 generate_user_dirpath 路径校验不足，可任意删除文件。 - CVE-2026-24785 —
9.1— Clatter 2.2.0 前 Noise 协议实现不合规，可能削弱握手环节的安全保证。 - CVE-2026-24838 —
9.1— DNN 9.13.10/10.2.0 前模块标题支持富文本，未过滤内容可能注入并执行脚本。