每日高危漏洞速报 2026-08-25（9 条）
每日高危漏洞速报 · 2026-08-25
共收录 9 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述：当日 9 条漏洞中，Apache Camel、Apache Hive、OpenSSL、GitPython 等知名组件集中出现严重问题，其中 6 条 CVSS 分数达到 9.8，多数为输入校验缺失、注入类缺陷，攻击面覆盖 WebSocket、消息中间件、SQL 元数据与加密协议校验。最需要优先处理的是 Gitea 代码注入（CVE-2026-60004）：该漏洞已被在野利用，持有仓库写权限的攻击者即可通过 diffpatch 接口植入可执行 Git hook 并执行 shell 命令。Apache Camel 的多个组件（Atmosphere、Undertow、Azure Storage Blob）同时受影响，并且修复版本覆盖多个分支，使用对应版本区间的用户应尽快统一升级。其余条目无在野利用证据，可纳入常规修补排期。
今日收录
- CVE-2026-71300 —
9.8— Apache Camel Atmosphere WebSocket 组件输入校验缺陷，影响 4.0.0–4.22.0 多个分支。 - CVE-2026-78329 —
9.8— Apache Camel Undertow 组件输入校验不当，4.11.0 起多个版本区间受影响。 - CVE-2026-32563 —
9.8— WordPress ACPT Pro 插件 2.0.63 及以下版本存在 PHP 对象注入，可导致代码执行。 - CVE-2026-78676 —
9.8— GitPython 3.1.59 之前版本重写多行 git-config 时未安全转义，可注入 hooksPath 等指令。 - CVE-2026-49845 —
9.8— Apache Hive 4.2.1 之前版本，在元数据分区名解析中存在 SQL 注入，具备 API 访问权限的认证用户可利用。 - CVE-2026-63073 —
9.8— OpenSSL CMP 响应校验将发送者 DN 直接作为格式串传入，恶意响应可造成内存破坏。 - CVE-2026-66906 —
9.1— Apache Camel Azure Storage Blob 组件存在相对路径穿越，影响多个 4.x 版本区间。 - CVE-2026-55976 —
9.1— Apache Hive 4.2.1 之前 Avro SerDe 解析存在 SSRF，具备建表权限的远程认证用户可利用。 - CVE-2026-60004 —
0.0— Gitea diffpatch 接口存在代码注入，具备仓库写权限的攻击者可植入 Git hook 执行命令。[KEV]