每日高危漏洞速报 2026-03-31（14 条）
每日高危漏洞速报 · 2026-03-31
共收录 14 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述 当日收录 14 条高危漏洞，评分集中在 9.1–9.9，且均未被标记为在野利用（KEV），尚无证据显示已遭实际攻击。风险集中在三类产品：面向 Nginx 运维的 Web 管理面板 Nginx UI（IDOR、MCP 接口暴露、备份篡改，共 3 条）、WordPress 插件生态（Supsystic 联系表单 SSTI、Everest Forms Pro PHP 代码注入，均可直接 RCE），以及多个 AI 编码代理/自动化工具的命令自动批准模块——同一模式在 Syntx、Roo Code、Cline 分叉等多个产品中重复出现，说明这是可批量利用的共性缺陷。建议优先修补可直接获得远程代码执行或控制服务器的 Nginx UI 与两款 WordPress 插件，并排查内部是否在 CI 中使用 act 及各类 AI 代理工具。
今日收录
- CVE-2026-33030 —
9.9— Nginx UI ≤2.3.3 存在 IDOR，任意已认证用户可越权访问他人资源。 - CVE-2026-2287 —
9.8— CrewAI 运行时不校验 Docker 状态，回退至不安全沙箱导致 RCE。 - CVE-2026-33032 —
9.8— Nginx UI ≤2.3.5 的 MCP 集成暴露 /mcp 等接口，鉴权不足可被滥用。 - CVE-2026-30305 —
9.8— Syntx 命令自动批准模块正则脆弱，可绕过白名单注入系统命令。 - CVE-2026-30307 —
9.8— Roo Code 命令自动批准模块可被正则绕过，致白名单失效并注入命令。 - CVE-2026-30313 —
9.8— DSAI-Cline 自动批准模块采用字符串匹配，可绕过并注入系统命令。 - CVE-2026-4257 —
9.8— WordPress Supsystic 联系表单 ≤1.7.36 存在 SSTI，可致远程代码执行。 - CVE-2026-3300 —
9.8— Everest Forms Pro ≤1.9.12 计算插件可注入 PHP 代码，导致 RCE。 - CVE-2026-34041 —
9.8— act <0.2.86 无条件处理废弃的 ::set-env:: 等工作流命令，可注入环境。 - CVE-2026-30311 —
9.8— Ridvay Code 自动批准模块正则脆弱，白名单可绕过并注入命令。 - CVE-2026-30312 —
9.8— DSAI-Cline 字符串式校验可绕过，自动批准模块存在命令注入。 - CVE-2026-30314 —
9.8— Ridvay Code 命令白名单机制失效，攻击者可执行任意系统命令。 - CVE-2026-2275 —
9.6— CrewAI CodeInterpreter 无法连接 Docker 时回退 SandboxPython，可致 RCE。 - CVE-2026-33026 —
9.1— Nginx UI <2.3.4 备份恢复机制可被篡改加密归档并注入恶意内容。