每日高危漏洞速报 2026-01-29（3 条）
每日高危漏洞速报 · 2026-01-29
共收录 3 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述 当日 3 条情报中，最需优先处置的是 Ivanti Endpoint Manager Mobile (EPMM) 的代码注入漏洞 CVE-2026-1281：该漏洞可被未认证远程利用，并已被在野利用，因此应立即排查暴露面并修补。另外两条漏洞的 CVSS 均为 9.8，分别是取证工具 bulk_extractor 内嵌 unrar 解码路径中的堆溢出，以及 Free MP3 CD Ripper 解析恶意 WAV 文件时触发的栈溢出，二者都需要受害者打开特制文件才能触发。整体来看，风险主要集中在边界设备上的未认证远程代码执行，以及桌面端恶意文件解析两个方向。值得注意的是，CVE-2026-1281 的公开评分为 0.0，因此不能据此判断危害较低，应以 KEV 状态作为处置依据。
今日收录
- CVE-2026-24857 —
9.8— bulk_extractor 1.4 起内嵌 unrar 在 RAR PPM LZ 解码路径存在堆溢出，处理恶意 RAR 文件可触发。 - CVE-2020-37000 —
9.8— Free MP3 CD Ripper 2.8 解析超大 payload 的恶意 WAV 文件时发生栈溢出，可导致远程代码执行。 - CVE-2026-1281 —
0.0— Ivanti EPMM 存在代码注入，攻击者可未认证远程执行任意代码。 [KEV]