每日高危漏洞速报 2026-05-30（6 条）
每日高危漏洞速报 · 2026-05-30
共收录 6 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述 当日 6 条漏洞评分均在 9.0 以上，全部为未经认证即可触达关键接口的高危缺陷，但均无在野利用记录（KEV 标记为空）。风险集中在自托管 PaaS 与容器管理平台：Dokploy 一家独占 3 条命令注入，说明其 shell 命令拼接模式存在系统性缺陷，建议整体升级而非逐条修补。GitHub CLI 的凭证泄露问题影响面最广，涉及官方客户端向 TUF 镜像外发授权头，开发者终端与 CI 环境应优先升级至 2.93.0。Arcane 与 Shopper 的授权/权限缺陷可导致 RBAC 接管，建议对内网暴露面同步排查。
今日收录
- CVE-2026-45663 —
9.9— Dokploy 0.29.1 及更早版本 Docker 文件上传功能存在命令注入，认证用户即可利用。 - CVE-2026-45625 —
9.9— Arcane 1.19.0 之前基于 huma 的 REST API 在 git-repositories 等路径暴露九个端点。 - CVE-2026-45633 —
9.9— Dokploy 0.26.6 及更早版本 /docker-container-logs WebSocket 端点存在命令注入。 - CVE-2026-47744 —
9.9— Shopper 2.8.0 之前团队设置两处授权缺陷，任意认证用户可接管 RBAC 体系。 - CVE-2026-45628 —
9.6— Dokploy 0.29.2 及更早版本用模板字面量拼接 shell 命令并经 exec 执行。 - CVE-2026-48501 —
9.1— GitHub CLI 2.93.0 之前向 TUF 镜像请求误带 authorization 头，导致凭证泄露。