每日高危漏洞速报 2026-03-06（17 条）
每日高危漏洞速报 · 2026-03-06
共收录 17 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述 当日 17 条高价值漏洞的 CVSS 评分都≥9.1，但均未标记为在野利用，因此当前风险仍以大规模利用潜力为主。RustDesk 客户端同日披露 3 条 9.8 分漏洞，涉及越权、认证爆破与 CSRF，影响涵盖 Windows、macOS、Linux、iOS、Android 及 Web 客户端，建议远程运维类资产优先排查。OpenClaw 一次性披露 4 条（命令白名单绕过、语音通话鉴权绕过、中继服务器网络绑定错误、沙箱哈希强度不足），说明其攻击面较广，并且配置类缺陷偏多。Nginx UI 未授权备份接口、Acronis Cyber Protect 鉴权不当、Gogs 跨仓库 LFS 覆写等漏洞涉及知名基础设施与供应链环节，也应纳入本轮优先修补清单。
今日收录
- CVE-2026-30783 —
9.8— RustDesk 客户端信令、API 同步与配置模块存在权限滥用，可越权操作。 - CVE-2026-30789 —
9.8— RustDesk 口令哈希计算强度不足且不限制认证尝试次数，容易被暴力破解。 - CVE-2026-30793 —
9.8— RustDesk 的 Flutter URI 处理与 FFI 桥存在 CSRF，可导致权限提升。 - CVE-2025-13476 —
9.8— Viber Cloak 模式的 TLS ClientHello 指纹静态可预测，易被 DPI 识别封锁。 - CVE-2026-24457 —
9.8— OpenMQ 6.5.2 和 6.9.0 之前版本存在配置解析缺陷，远程攻击者可读取代理服务器任意文件。 - CVE-2026-27944 —
9.8— Nginx UI 的备份接口未鉴权，泄露解密备份所需的加密密钥。 - CVE-2026-21622 —
9.8— hexpm 密码重置令牌会话过期不足，可以导致账户被接管。 - CVE-2026-28391 —
9.8— OpenClaw 的非默认白名单配置未校验 cmd.exe 元字符，可绕过命令审批。 - CVE-2026-28446 —
9.8— OpenClaw 语音通话扩展的入站白名单接受空主叫，可绕过鉴权。 - CVE-2026-22552 —
9.8— WebSocket 端点缺乏鉴权，未授权者可冒充站点并篡改后端数据。 - CVE-2026-28710 —
9.8— Acronis Cyber Protect 17 build 41186 之前版本存在鉴权不当，导致敏感信息泄露。 - CVE-2026-29093 —
9.8— AVideo 官方 compose 将 memcached 暴露在 0.0.0.0:11211 且无认证。 - CVE-2026-2446 —
9.8— LearnDash PowerPack 1.3.0 之前版本的 AJAX 动作缺少鉴权与 CSRF 校验，未授权可改站点选项。 - CVE-2026-26051 —
9.8— WebSocket 端点缺乏鉴权，未授权攻击者可冒充站点并操纵后端数据。 - CVE-2026-25921 —
9.3— Gogs 0.14.2 之前版本允许跨仓库覆写 LFS 对象，可实施供应链攻击。 - CVE-2026-28395 —
9.1— OpenClaw Chrome 扩展中继服务器把通配符绑定误判为本地，导致错误绑定。 - CVE-2026-28479 —
9.1— OpenClaw 的沙箱标识缓存键使用 SHA-1，存在碰撞风险但也可能被滥用。