每日高危漏洞速报 2026-10-23（18 条）
每日高危漏洞速报 · 2026-10-23
共收录 18 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述
当日 18 条漏洞中有 2 条已确认在野利用：Arista VeloCloud Orchestrator 本地部署版的 SQL 注入（CVE-2026-114625）与 Nextcloud 平台内置 Collabora CODE Server 的 OS 命令注入（CVE-2026-110447），二者均无 CVSS 评分返回，应以利用状态而非分数排序处置。企业边界侧风险集中：Aruba AOS-8 的 PAPI 协议同时曝出命令注入与缓冲区溢出，均可未认证远程执行代码；Azure Kubernetes 配置服务则存在关键功能缺失鉴权导致的网络提权。开源与自建系统同样值得关注，Goobi viewer 单日出现 3 条 9.x 漏洞，Part-DB、OCO-Server、Bytebase、localstack 均涉及上传、鉴权绕过或代码执行。建议优先修补 2 条 KEV 条目与 Aruba、Azure 相关资产，再按资产暴露面处理其余高分项。
今日收录
- CVE-2026-83938 —
10.0— Azure Kubernetes 配置服务关键功能缺失身份验证，网络侧未授权即可提权。 - CVE-2026-53942 —
9.9— conda 仓库 GitHub Actions 存在 Pwn Request 缺陷，可借工作流执行任意代码。 - CVE-2022-51026 —
9.8— Bytebase 0.12.0 至 1.0.1 信任客户端 GitLab 配置，可未授权冒充任意用户登录。 - CVE-2026-79857 —
9.8— Aruba AOS-8 的 PAPI 协议命令注入，未认证发送特制报文即可远程执行代码。 - CVE-2026-79860 —
9.8— Aruba AOS-8 底层服务缓冲区溢出，未认证构造 PAPI 报文可远程执行代码。 - CVE-2026-98959 —
9.8— Linux 内核 btrfs 同一条目打包多个 xattr 时替换处理缺陷，可致内存破坏。 - CVE-2026-99078 —
9.8— Linux 内核 mlx5e 在步进 RQ 重填重试时错误释放陈旧 AF_XDP 缓冲区。 - CVE-2026-99079 —
9.8— Linux 内核 mlx5e 在 RX 环满致 XDP 重定向失败时仍释放 XSK 缓冲区。 - CVE-2026-46651 —
9.8— Goobi viewer 24.03 至 26.05 的 DownloadTaskEndpoint 端点缺少访问控制。 - CVE-2026-46652 —
9.8— Goobi viewer 同名版本文件名提取不当，可越权下载非授权文件。 - CVE-2025-65200 —
9.6— localstack 4.9.2 经 templateURL 加载远程内容，导致任意代码执行。 - CVE-2026-54630 —
9.6— Part-DB 2.12.1 前将附件存入 Web 媒体目录，可上传并直接访问恶意文件。 - CVE-2026-55981 —
9.6— Creative Sound Blaster Katana 固件校验不足，可篡改固件并刷入受影响设备。 - CVE-2026-55486 —
9.3— Goobi viewer 25.08 至 26.05 的 IIIF Auth 2.0 login 与 token 端点鉴权缺陷。 - CVE-2026-114611 —
9.1— OCO-Server 1.2.3 前苹果 MDM 注册端点校验缺失，可未授权注册设备。 - CVE-2026-94267 —
9.0— ACF Extended 及 PRO 0.9.2.8 前更新文章无权限检查，可越权修改内容。 - CVE-2026-114625 —
0.0— Arista VeloCloud Orchestrator 本地版 SQL 注入，可访问内部特权功能并影响主机。 [KEV] - CVE-2026-110447 —
0.0— Nextcloud 内置 CODE Server 存在 OS 命令注入，未正确配置时可远程执行代码。 [KEV]