每日高危漏洞速报 2026-11-02（7 条）
每日高危漏洞速报 · 2026-11-02
共收录 7 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述 当日收录 7 条高价值漏洞，其中 2 条已被在野利用，且均来自 Barracuda：Email Security Gateway 存在未认证认证绕过，部分设备产品存在已认证命令注入，应优先排查和修补。Apache Syncope 集中暴露 4 条高分问题，涉及 BPMN 导入、Groovy 代码执行、SQL 注入修复不完整及 Realm 越权迁移，利用门槛多为管理员或委派管理员权限。Apache Arrow Rust 的越界读取同样值得关注，建议相关使用方尽快升级。
今日收录
- CVE-2026-109083 —
9.8— Apache Syncope 管理员可通过 REST 接口导入恶意 BPMN 流程定义。 - CVE-2026-113687 —
9.8— Apache Syncope 具备 Implementations 权限的管理员可创建恶意 Groovy 类执行代码。 - CVE-2026-114364 —
9.8— Apache Syncope 管理员可利用未完全修复的 SQL 注入执行任意查询。 - CVE-2026-111959 —
9.1— Apache Arrow Rust 对 RunEndEncoded 数组校验不足，可导致越界读取。 - CVE-2026-113511 —
9.1— Apache Syncope 委派管理员可越权跨管理域迁移 Realm 子树。 - CVE-2026-111560 —
0.0— Barracuda 设备时区配置未过滤 shell 元字符，已认证管理员可注入命令。[KEV] - CVE-2026-116606 —
0.0— Barracuda ESG 9.4.0.030 之前版本认证绕过，未认证攻击者可导入恶意配置。[KEV]