每日高危漏洞速报 2026-11-01（5 条）
每日高危漏洞速报 · 2026-11-01
共收录 5 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述：当日收录 5 条评分 9.1–9.9 的漏洞，均未标记在野利用，但集中在容器沙箱与身份鉴权两类高风险面。Beta9 连续两条（构建隔离与沙箱文件 API 路径处理）可致多租户隔离失效，建议优先排查暴露于不可信租户的部署。Apache MINA 3.0 无类过滤反序列化、Gitea 令牌权限校验缺失，均属触发门槛较低的经典缺陷。OAuth2 账号关联问题仅在非默认配置下成立，需先确认实际配置再定优先级。
今日收录
- CVE-2026-120306 —
9.9— Beta9 以 chroot 隔离执行租户镜像命令，缺少限制，可突破构建隔离。 - CVE-2026-120307 —
9.9— Beta9 沙箱文件 API 路径转换未校验，租户可越权访问 worker 路径。 - CVE-2026-118636 —
9.8— Apache MINA 3.0 解码器无类过滤反序列化帧数据，前置即可致 RCE。 - CVE-2026-120263 —
9.8— OAuth2 客户端开启自动账号关联与注册时，按用户名或邮箱关联可劫持账号。 - CVE-2026-116289 —
9.1— Gitea 未拒绝 public-only 令牌调用 runner 注册接口，可越权注册运行器。