每日高危漏洞速报 2026-03-28（8 条）
每日高危漏洞速报 · 2026-03-28
共收录 8 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述：当日收录 8 条高危漏洞，评分集中在 9.1–10.0，全部尚未标记为在野利用（KEV=false），但利用门槛普遍较低。风险焦点集中于命令注入与代码执行：CodeRider-Kilo 的自动审批白名单可被绕过并注入系统命令，Fleet、Pi-hole 两大运维基础设施产品均存在可致 root 级任意代码执行的注入链路。另有 Varnish Cache 的 URL 解析缺陷可引发缓存投毒、Undertow 的畸形头终止符可用于请求走私，二者影响面广、修复紧迫性高。建议优先处置 CodeRider-Kilo、Fleet、Pi-hole 三条，并同步推进 Varnish、Undertow 的版本升级与前置代理规则加固。
今日收录
- CVE-2026-30302 —
10.0— CodeRider-Kilo 自动审批模块存在系统命令注入，白名单机制失效可被绕过执行任意命令。 - CVE-2026-34387 —
9.8— Fleet 4.81.1 之前版本，软件安装流水线命令注入可致攻击者以 root 执行任意代码。 - CVE-2026-33765 —
9.8— Pi-hole 管理界面 6.0 之前版本存在严重命令注入，可被远程利用执行系统命令。 - CVE-2026-34475 —
9.8— Varnish Cache 8.0.1 之前对路径为 / 的 URL 处理不当，可致缓存投毒或认证绕过。 - CVE-2026-34205 —
9.6— Home Assistant 宿主网络模式应用暴露未认证端点，可被直接访问并进一步利用。 - CVE-2026-33976 —
9.6— Notesnook 网页剪藏渲染存在存储型 XSS，可升级为桌面端远程代码执行。 - CVE-2026-33875 —
9.3— Gematik 认证器 4.16.0 之前版本存在认证流程劫持，可能致攻击者冒用身份登录。 - CVE-2026-28367 —
9.1— Undertow 可用连续回车作头块终止符，配合特定代理服务器实施请求走私。