每日高危漏洞速报 2026-05-08（28 条）
每日高危漏洞速报 · 2026-05-08
共收录 28 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述
当日共收录 28 条漏洞，仅 CVE-2026-42208（LiteLLM SQL 注入）标记为在野利用，应优先核查代理数据库暴露面并尽快修复。Ivanti EPMM 同日出现多条未认证访问与证书校验问题，Azure Cassandra、Argo CD、GitPython、Axios 等知名组件亦在列。Linux 内核条目集中在 ksmbd/SMB、libceph、TCP 认证与网卡驱动，多为 UAF、越界与计时侧信道，建议按在用子系统分批推进。整体修补优先级：在野利用项 > 未认证远程利用项 > 内核与开发依赖。
今日收录
- CVE-2026-33109 —
9.9— Azure Cassandra 托管实例访问控制不当，授权攻击者可远程执行代码。 - CVE-2026-5788 —
9.8— Ivanti EPMM 访问控制不当，未认证远程攻击者可调用任意方法。 - CVE-2026-42284 —
9.8— GitPython 克隆多选项校验后可拼接执行，存在命令注入风险。 - CVE-2026-8034 —
9.8— GitHub Enterprise Server 笔记本查看器 SSRF，可借 URL 解析混淆访问内网。 - CVE-2026-41500 —
9.8— electerm 3.3.8 前 npm 安装脚本存在命令注入，可执行任意命令。 - CVE-2026-41501 —
9.8— electerm 3.3.8 前 npm 安装脚本命令注入，可导致任意代码执行。 - CVE-2026-43304 —
9.8— Linux libceph 解码密钥未限制长度，可写入固定缓冲区造成越界。 - CVE-2026-43341 —
9.8— Linux ioam6 跟踪填充存在模式长度回绕，可致越界写入。 - CVE-2026-43376 —
9.8— Linux ksmbd 释放 oplock_info 不当，存在释放后使用。 - CVE-2026-43378 —
9.8— Linux ksmbd smb2_open 中 opinfo 释放后使用，可致内核崩溃。 - CVE-2026-43379 —
9.8— Linux ksmbd 租约中断关闭路径存在释放后使用。 - CVE-2026-43384 —
9.8— Linux TCP-AO MAC 比较非常量时间，可能被计时攻击利用。 - CVE-2026-43402 —
9.8— Linux kthread 退出路径整合修复释放后使用，可致 RCU 回调损坏。 - CVE-2026-43414 —
9.8— Linux qla2xxx 驱动 fcport 双重释放，可致内核内存破坏。 - CVE-2026-43465 —
9.8— Linux mlx5e 跨步 RQ 的 XDP 多缓冲分片计数错误。 - CVE-2026-42880 —
9.6— Argo CD 授权与数据脱敏缺失，特定版本可越权读取敏感数据。 - CVE-2026-43383 —
9.4— Linux TCP-MD5 MAC 比较非常量时间，存在计时侧信道。 - CVE-2026-5787 —
9.1— Ivanti EPMM 证书校验不当，未认证攻击者可冒充 Sentry 主机获取证书。 - CVE-2026-7821 —
9.1— Ivanti EPMM 证书校验缺陷，未认证攻击者可注册受限未注册设备。 - CVE-2026-41902 —
9.1— FreeScout 用户设置接口邀请哈希处理不当，可创建新用户。 - CVE-2026-42264 —
9.1— Axios 多个配置属性校验缺陷，影响 1.0.0 至 1.15.2。 - CVE-2013-10075 —
9.1— Perl Apache::Session 会重建已删除会话，或致会话状态异常。 - CVE-2026-25199 —
9.1— Apache CloudStack Proxmox 扩展可越权访问其他租户实例。 - CVE-2026-43406 —
9.1— Linux libceph 解析消息头越界读取，恶意损坏帧可触发。 - CVE-2026-43407 —
9.1— Linux libceph 认证回复处理存在越界访问，可致内存风险。 - CVE-2026-44497 —
9.1— Zcash Zebra 前序修复引入错误处理缺陷，或致节点异常。 - CVE-2026-33844 —
9.0— Azure Cassandra 托管实例访问控制不当，授权攻击者可远程执行代码。 - CVE-2026-42208 —
0.0— LiteLLM 存在 SQL 注入，可读取或修改代理数据库并越权访问。 [KEV]