每日高危漏洞速报 2026-03-05（16 条）
每日高危漏洞速报 · 2026-03-05
共收录 16 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述 当日共收录 16 条漏洞，其中 7 条已确认在野利用（KEV），包括 Cisco、海康威视、Rockwell 与 Apple 等知名厂商。风险最高的是 Cisco Secure Firewall Management Center 的两个满分漏洞：它们都无需认证即可远程利用，并且已看到攻击活动，因此应第一时间隔离管理面并升级。KEV 列表中多条为旧年份 CVE（如海康威视 CVE-2017-7921、Rockwell CVE-2021-22681、Apple 多条 2021/2023 漏洞），说明这些漏洞即使披露多年，仍是攻击者实际入侵时使用的入口。其余高分项集中在 WordPress 插件（代码注入、PHP 对象注入、认证绕过、文件包含）与 Pingora 的 HTTP 请求走私，公网暴露的站点与代理网关需重点排查。
今日收录
- CVE-2026-20079 —
10.0— Cisco FMC Web 界面认证绕过，未认证远程攻击者可执行脚本文件 [KEV] - CVE-2026-20131 —
10.0— Cisco FMC Web 管理界面未认证远程攻击者可以 root 权限执行任意 Java 代码 [KEV] - CVE-2026-22390 —
9.9— WordPress Builderall Cheetah 插件代码注入，可远程执行任意代码 - CVE-2026-28043 —
9.8— ThemeREX Healer 医疗主题 PHP 远程文件包含，可引入外部恶意文件 - CVE-2026-25702 —
9.8— SUSE Linux Enterprise Server 12 SP5 内核访问控制缺陷导致 nftables 防火墙规则失效 - CVE-2026-2599 —
9.8— WordPress 表单数据库插件至 1.4.7 反序列化不可信输入，导致 PHP 对象注入 - CVE-2026-3545 —
9.6— Chrome 145.0.7632.159 前版本 Navigation 校验不足，构造页面可逃逸沙箱 - CVE-2026-2833 —
9.1— Pingora 代理处理 HTTP/1.1 Upgrade 头不当，存在请求走私 - CVE-2026-2835 —
9.1— Pingora 对 HTTP/1.0 与 Transfer-Encoding 解析不当，导致请求走私 - CVE-2025-40931 —
9.1— Perl Apache::Session::Generate::MD5 至 1.94 默认生成不安全会话 ID - CVE-2026-2418 —
9.1— WordPress Login with Salesforce 至 1.0.2 未校验登录许可，可冒充任意用户 - CVE-2017-7921 —
0.0— 海康威视多款产品认证不当，可提升权限并访问敏感信息 [KEV] - CVE-2021-22681 —
0.0— Rockwell Studio 5000 Logix Designer 凭据保护不足，控制器校验密钥可被获取 [KEV] - CVE-2023-43000 —
0.0— Apple macOS/iOS/iPadOS/Safari 处理恶意网页内容存在释放后重用，可致内存破坏 [KEV] - CVE-2021-30952 —
0.0— Apple tvOS/macOS/Safari/iPadOS/watchOS 处理恶意网页内容整数溢出，可执行任意代码 [KEV] - CVE-2023-41974 —
0.0— Apple iOS/iPadOS 释放后重用，应用可获取内核权限执行任意代码 [KEV]