每日高危漏洞速报 2026-05-21（7 条）
每日高危漏洞速报 · 2026-05-21
共收录 7 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述：当日 7 条收录中包含 2 条已被在野利用的漏洞，分别是 Langflow 因 CORS 与刷新令牌配置缺陷导致的凭据窃取链，以及 Trend Micro Apex One 因目录遍历导致的本地代码注入；两者均应按最高优先级处置。Cisco Secure Workload 以 10.0 满分成为当日评分最高的条目；该漏洞无需认证即可通过内部 REST API 越权访问资源，风险集中在边界防护薄弱的关键基础设施环境中。WordPress 生态中的 Avada Builder 与 Divi Form Builder 分别存在未认证远程代码执行与权限提升，且两者影响面广，相关站点应尽快升级。HP Linux 打印软件与 Linux 内核 IPv6 RPL 路径的问题需结合发行版补丁节奏跟进，在多用户主机场景下更应优先处理。
今日收录
- CVE-2026-20223 —
10.0— Cisco Secure Workload 内部 REST API 访问校验缺陷，未认证远程攻击者可越权访问站点资源 - CVE-2026-8631 —
9.8— HP Linux 打印软件存在缺陷，本地攻击者可提权并执行任意代码 - CVE-2026-6279 —
9.8— WordPress Avada Builder ≤3.15.2 存在 PHP 函数注入，可实现未认证远程代码执行 - CVE-2026-43501 —
9.8— Linux 内核 IPv6 RPL 重压缩 SRH 时未预留 mac_len 头空间，可致内存破坏 - CVE-2026-5118 —
9.8— WordPress Divi Form Builder ≤5.1.2 接受用户可控 Role 参数，导致权限提升 - CVE-2025-34291 —
0.0— Langflow 的 CORS 配置过宽且刷新令牌设为 SameSite=None，恶意页面可窃取凭据 [KEV] - CVE-2026-34926 —
0.0— Trend Micro Apex One 本地目录遍历，攻击者可篡改服务端关键表以注入恶意代码 [KEV]