每日高危漏洞速报 2026-06-23（7 条）
每日高危漏洞速报 · 2026-06-23
共收录 7 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述
当日收录 7 条漏洞，其中 4 条已确认在野利用，风险集中在网络边界设备：Ubiquiti UniFi OS 的路径遍历、命令注入与访问控制缺陷（CVE-2026-34910、CVE-2026-34909、CVE-2026-34908）同时被利用，Lantronix EDS5000 更可直接以 root 权限注入系统命令（CVE-2025-67038），应列为最高优先级修补。未在野利用的条目中，Flowise 命令注入（9.9）与 IBM Storage Protect 硬编码凭证导致认证绕过（9.1）影响面广，需尽快升级。Jupyter Server 的未沙箱渲染问题（9.0）虽评分偏高，但需结合部署暴露面评估。三款 Ubiquiti 漏洞共享同一网络可达前提，建议一并排查并限制管理接口对外暴露。
今日收录
- CVE-2026-56274 —
9.9— Flowise 3.1.2 前 Custom MCP Server 因命令标志校验不全与正则绕过，可注入系统命令 - CVE-2026-12628 —
9.1— IBM Storage Protect Client/Snapshot 8.1.0.0–8.2.1.0 使用硬编码凭证，远程攻击者可绕过认证 - CVE-2026-44727 —
9.0— Jupyter Server 2.20 前 nbconvert 未隔离渲染用户 HTML，可致脚本执行 - CVE-2025-67038 —
0.0— Lantronix EDS5000 用户名参数可注入任意系统命令，以 root 权限执行 [KEV] - CVE-2026-34910 —
0.0— Ubiquiti UniFi OS 输入校验不当，网络可达攻击者可实施命令注入 [KEV] - CVE-2026-34909 —
0.0— Ubiquiti UniFi OS 存在路径遍历，网络内攻击者可读取底层系统文件 [KEV] - CVE-2026-34908 —
0.0— Ubiquiti UniFi OS 访问控制不当，网络内攻击者可未授权修改系统 [KEV]