每日高危漏洞速报 2026-03-19（3 条）
每日高危漏洞速报 · 2026-03-19
共收录 3 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述 当日 3 条漏洞均未发现在野利用，暂无 KEV 条目，但 CVSS 评分普遍偏高（10.0 一条、9.1 两条），修补优先级不应因此下调。最需关注的是 MLflow 的 pyfunc 解包路径穿越导致任意文件写入，MLflow 模型加载链路常被直接暴露于内网；OpenProject 的自定义字段名 SQL 注入影响多个仍在维护的分支，公网部署实例应第一时间升级。Romeo 漏洞位于 CI 构建环节（GitHub Actions），属工具链侧风险，涉及者多为研发流水线，建议随下游镜像一并更新。整体看，这三条都属于“补丁已发布、需靠运维动作落地”的类型，而非紧急的应急响应事件。
今日收录
- CVE-2026-32737 —
10.0— Romeo 0.2.1 之前版本在 GitHub Actions 采集 Go 覆盖率时存在缺陷，影响构建流程。 - CVE-2026-32698 —
9.1— OpenProject 多个 17.x 及更早版本的自定义字段名可被注入 SQL，需相应升级。 - CVE-2025-15031 —
9.1— MLflow pyfunc 解包 tar 未校验路径，恶意归档可致任意文件写入。