每日高危漏洞速报 2026-08-17（18 条）
每日高危漏洞速报 · 2026-08-17
共收录 18 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述
当日 18 条高价值漏洞中，17 条集中披露于 openssl_encrypt 1.4.0 之前版本，覆盖认证绕过、插件沙箱逃逸、硬编码数据库凭据、HKDF 参数缺陷与“失败即降级”式密码学回退，单次版本升级即可批量消除，属最优先处置项。其余两条为 SiYuan 3.7.4 之前的存储型 XSS，以及 Ray 的代码注入远程代码执行；后者（CVE-2025-62593）已被在野利用，为当日唯一 KEV，暴露于公网的 Ray 开发环境应立即排查。整体风险重心落在加密与 AI 开发工具链的组件级缺陷，且多处问题需要攻击者已具备一定访问位置（内网、插件上传、日志读取）才能利用，建议优先收敛外网暴露面。
今日收录
- CVE-2025-62593 —
0.0— Ray-Project Ray 存在代码注入，可经 Fire 接口实现远程代码执行 [KEV] - CVE-2026-74872 —
9.8— Whirlpool 哈希实现以宽泛 glob 加载 .so 模块且不校验完整性，可致任意代码执行 - CVE-2026-74875 —
9.8— 缺少 jsonschema 库时静默跳过 JSON 校验，畸形元数据被直接接受 - CVE-2026-74876 —
9.8— PublicKeyBundle.from_dict() 直接从不信任数据构造密钥包且不验证签名 - CVE-2026-74878 —
9.8— TOTP 防爆破限流为单进程内存实现，不跨 worker 共享且重启即失效 - CVE-2026-74880 —
9.8— keyserver 与遥测路由接受 URL 查询参数中的刷新令牌，可从日志与浏览器历史泄露 - CVE-2026-74881 —
9.3— CORS 允许来源设为通配且同时启用凭据，可发起带认证的跨域请求 - CVE-2026-74882 —
9.1— 默认将整个 RFC 1918 私有网段列为可信代理，内网攻击者可伪造来源地址 - CVE-2026-74886 —
9.8— 插件导入守卫与 AST 分析器危险模块清单不一致，可绕过插件沙箱 - CVE-2026-74889 —
9.8— 密钥归一化使用无 salt、静态 info 的 HKDF，降低熵值并产生可预测密钥 - CVE-2026-74891 —
9.8— 独立服务器配置文件内硬编码数据库凭据，同网段可直连 PostgreSQL - CVE-2026-74894 —
9.8— verify_api_token 接受任意非空 Bearer 令牌，攻击者可未授权上传文件 - CVE-2026-74895 —
9.8— 默认进程隔离模式未施加沙箱限制，恶意插件可无限制访问宿主资源 - CVE-2026-74896 —
9.8— DangerousPatternVisitor 无法识别双下划线属性遍历，可借此逃逸沙箱 - CVE-2026-74899 —
9.8— IsolatedPluginExecutor 在受限 exec() 内置中暴露 Python 类型对象，可遍历逃逸 - CVE-2026-74900 —
9.8— pqc.py 中 KEM 解封装失败时静默回退模拟模式，生成确定性共享密钥 - CVE-2026-74901 —
9.8— AES-GCM 解密失败回退至无认证的 AES-CTR，攻击者篡改密文即可绕过认证 - CVE-2026-74800 —
9.0— SiYuan 3.7.4 前版本返回文件资产未设 Content-Disposition 与 X-Content-Type-Options，可存储型 XSS