每日高危漏洞速报 2026-08-04（12 条）
每日高危漏洞速报 · 2026-08-04
共收录 12 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述
当日收录 12 条高价值漏洞，其中多数 CVSS 评分在 9.0 以上，攻击面集中在 Apache NiFi、WordPress 插件与人力资源系统等常见企业组件。最值得优先处理的是两条已确认在野利用的漏洞：N-able N-central 认证绕过与 Langflow 未授权远程代码执行，二者均可被未认证攻击者直接利用。NiFi 参数上下文授权缺失与 Edge 类型混淆漏洞影响知名产品且利用门槛低，建议纳入本轮应急修补窗口。
今日收录
- CVE-2026-68979 —
9.8— Apache NiFi 参数上下文更新接口缺失授权校验，低权限用户可篡改引用组件参数。 - CVE-2026-51190 —
9.8— Serverless-Devs 初始化命令以 shell 模式拼接输入，.git结尾 URL 可绕过校验执行命令。 - CVE-2026-16618 —
9.8— Improve SEO 插件仅校验文件内容类型，攻击者可用自定义扩展名上传 WebShell 至公开目录。 - CVE-2026-64564 —
9.8— Linux 内核 SCTP 处理 DEL-IP 时释放 ASCONF 自身传输结构，可触发释放后重用。 - CVE-2026-14175 —
9.8— HUMANIST 人力资源系统允许上传危险类型文件，攻击者可上传 WebShell 控制服务器。 - CVE-2026-15721 —
9.8— HUMANIST 人力资源系统以明文存储敏感信息并存在 SQL 注入，可致数据泄露。 - CVE-2026-66321 —
9.6— 微软 Edge 存在类型混淆缺陷，未授权攻击者可经网络远程执行任意代码。 - CVE-2026-15958 —
9.3— Dropbox 插件多个文件管理 AJAX 动作缺失授权校验且开放给未认证用户。 - CVE-2026-68980 —
9.1— Apache NiFi 资产删除仅按所属参数上下文授权，可越权删除他人资产。 - CVE-2026-14804 —
9.1— HUMANIST 人力资源系统内置硬编码加密密钥，可从可执行文件中提取敏感常量。 - CVE-2026-18556 —
0.0— N-able N-central 存在备用路径认证绕过，攻击者可跳过身份验证进入系统。[KEV] - CVE-2026-9198 —
0.0— Langflow 代码注入漏洞，未认证攻击者可在默认部署上实现完整远程代码执行。[KEV]