// vulnerability intelligence · 62 筆

漏洞說明書

漏洞分析與應對指引:影響範圍、風險程度、攻擊方式、修補與偵測,每一項都附參考來源。

主題
利用狀態
漏洞 · KEV
CVE-2026-109618
PHP 記憶體不足處理導致遠端執行
Web 應用記憶體損壞/遠端程式碼執行
Critical9.8未列入—
CVE-2026-77936
Letta 預設部署設定無認證
AI 安全基礎設施不安全的預設設定
Critical9.3未列入—
CVE-2026-53995
MLflow trace ID 路徑穿越
High8.2未列入—
CVE-2026-111322
Archon 控制 API 缺少認證
AI 安全關鍵功能缺少認證
Critical9.3未列入—
CVE-2026-111391
SGLang 除錯傾印 eval 注入
AI 安全程式碼注入(eval 注入)
Critical9.2未列入—
CVE-2026-76519
Cisco 郵件閘道 AMP 任意檔案寫入
基礎設施路徑穿越(任意檔案寫入)
Critical9.8已列入—
CVE-2026-104935
Ivanti Connect Secure 認證繞過
基礎設施偽造身分的認證繞過
High8.6已列入—
CVE-2026-110204
Roo Code 指令核准繞過
AI 安全解讀不一致導致核准繞過
High7.7未列入—
CVE-2026-49950
Xoscar 反序列化遠端執行
基礎設施不安全的反序列化
Critical9.3未列入—
CVE-2026-108860
BotSharp 寫死 JWT 金鑰認證繞過
Web 應用AI 安全寫死的加密金鑰
Critical9.3未列入—
CVE-2026-108863
Plano Envoy 管理介面洩漏金鑰
AI 安全基礎設施關鍵功能缺少認證
High7.5未列入—
CVE-2026-86063
Claude Code 外掛雜湊鎖定繞過
供應鏈AI 安全下載程式碼未驗證完整性
High7.5未列入—
CVE-2026-105192
LMCache ZMQ pickle 遠端執行
AI 安全基礎設施不安全的反序列化
Critical9.8未列入—
CVE-2026-21589
Atlassian Data Center 任意檔案讀取
Web 應用任意檔案存取(路徑穿越)
Critical9.3已列入—
CVE-2026-90920
Maximo AI Service 程式碼注入
基礎設施AI 安全程式碼注入
Critical9.8未列入—
CVE-2026-105134
AhsayCBS 複寫接收端命令注入
基礎設施Web 應用作業系統命令注入
Critical9.3已列入—
CVE-2026-88779
NetScaler SAML 記憶體溢位阻斷服務
基礎設施記憶體溢位/阻斷服務
High7.5已列入—
CVE-2026-104334
Langflow OSS 程式碼注入
AI 安全程式碼注入
Critical9.8未列入—
CVE-2026-90970
GitLab AI Gateway 範本沙箱逃逸
AI 安全範本注入/沙箱逃逸
Critical9.9未列入—
CVE-2026-93674
Langflow OSS 命令注入
AI 安全命令注入/程式碼注入
Critical9.8未列入—
CVE-2026-104286
FortiMail 路徑穿越任意寫檔
基礎設施路徑穿越
Critical9.8已列入—
CVE-2026-109527
MCP Python SDK 請求大小阻斷服務
AI 安全Web 應用資源無上限配置(阻斷服務)
High7.5未列入—
CVE-2026-59951
MCP Python SDK 工作階段耗盡記憶體
AI 安全資源耗盡(阻斷服務)
Medium6.9未列入—
CVE-2026-76504
Cisco SD-WAN Manager 認證繞過
基礎設施Web 應用認證繞過(網址編碼處理不當)
Critical9.8已列入—
CVE-2026-79538
MetaMCP 代理端點命令注入
AI 安全Web 應用命令注入/遠端程式碼執行
Critical9.8未列入—
CVE-2026-88771
NetScaler 未認證遠端程式碼執行
基礎設施遠端程式碼執行
Critical9.8已列入—
CVE-2026-93088
SGLang 擴散伺服器 pickle 遠端執行
AI 安全不安全的反序列化
Critical9.8未列入—
CVE-2026-94127
F5 BIG-IP APM OAuth 堆積溢位
基礎設施記憶體損壞
Critical9.8已列入—
CVE-2026-109560
Continue CLI Bash 權限繞過
AI 安全供應鏈授權檢查錯誤
High7.7未列入—
CVE-2026-107204
LMCache /run_script 未認證 RCE
AI 安全基礎設施缺少認證的遠端程式碼執行
Critical9.8未列入—
CVE-2026-100587
OpenClaw Codex 安裝指令授權繞過
AI 安全缺少授權檢查
High8.7未列入—
CVE-2026-100596
OpenClaw MCP 設定授權缺失
AI 安全缺少授權檢查
High8.8未列入—
CVE-2026-108263
Astron Agent 程式碼節點跨租戶 RCE
AI 安全遠端程式碼執行
Critical9.9未列入—
CVE-2026-65660
SharePoint Server 程式碼注入 RCE
Web 應用基礎設施程式碼注入
High8.8已列入—
無 CVEMAL-2026-11524
keyv / cacheable npm 套件被挾持
供應鏈AI 安全惡意程式植入
未評—未列入2026-08-04
CVE-2026-96804
MLflow statsmodels pickle 防護繞過
AI 安全不安全的反序列化
High8.8未列入—
CVE-2026-114090
Trigger.dev MCP 伺服器缺少認證
供應鏈AI 安全缺少認證
High7.6未列入—
CVE-2026-96620
Claude Agent SDK resume 引數注入
AI 安全引數注入
Critical9.2未列入—
CVE-2026-90553
vLLM LlavaOnevision2 忽略 trust_remote_code
AI 安全供應鏈不當信任
High7.8未列入2026-07-11
CVE-2026-77244
mcp-atlassian 0.22.0 修補的 29 個漏洞
AI 安全多種 MCP 漏洞
Critical10.0未列入—
CVE-2026-82021
Hermes Agent MCP 目錄未釘選 commit
供應鏈AI 安全未固定版本
Critical9.0未列入2026-07-07
CVE-2026-102697
Ollama 代理模式 Bash 核准繞過
AI 安全授權不當
High8.5未列入—
CVE-2026-61742
DBHub MCP 伺服器 DNS rebinding
AI 安全Web 應用缺少認證與來源驗證錯誤
Critical9.3未列入—
CVE-2026-110644
nodejs-whisper 檔名指令注入
Web 應用作業系統指令注入
Critical9.3未列入—
CVE-2026-57118
PraisonAI 代理伺服器缺少認證
AI 安全缺少認證與授權
Critical9.8未列入—
CVE-2026-55107
Kobako 沙箱逃脫至宿主執行程式碼
AI 安全沙箱逃脫(不安全反射)
Critical10.0未列入—
CVE-2026-50016
pnpm 相依套件別名路徑穿越
供應鏈路徑穿越
High8.8未列入—
CVE-2026-48501
GitHub CLI 驗證指令洩漏權杖
供應鏈憑證外洩
Critical9.1未列入—
CVE-2026-48027
Nx Console 擴充套件惡意更新
供應鏈惡意程式植入
Critical9.8已列入2026-05-18
CVE-2026-45321
TanStack npm 發布流程被劫持
供應鏈AI 安全惡意程式植入
Critical9.6已列入2026-05-11
CVE-2026-45758
guardrails-ai PyPI 惡意版本
供應鏈AI 安全惡意程式植入
Critical9.6未列入2026-05-11
CVE-2026-46421
SAP @cap-js / mbt npm 惡意版本
供應鏈AI 安全惡意程式植入
Critical9.3未列入2026-04-29
無 CVEGHSA-fw8c-xr5c-95f9
axios npm 維護者帳號被盜
供應鏈惡意程式植入
未評—未列入2026-03-31
CVE-2026-105697
Langflow MCP stdio 指令注入
AI 安全作業系統指令注入
Critical9.9未列入—
CVE-2026-33634
Trivy 與 trivy-action 被植入竊密程式
供應鏈AI 安全惡意程式植入
High8.8已列入2026-03-19
CVE-2026-33017
Langflow 公開流程免登入執行程式碼
AI 安全遠端執行程式碼
Critical9.8已列入—
CVE-2026-59822
LiteLLM MCP 閘道認證繞過
AI 安全認證繞過
High8.2已列入2026-02-07
無 CVEMAL-2025-190925
PostHog npm 發布權杖被盜
供應鏈惡意程式植入
未評—未列入2025-11-24
CVE-2026-5241
Transformers LightGlue 設定蓋掉 trust_remote_code
AI 安全供應鏈不當信任
Critical9.6未列入2025-07-25
CVE-2026-12537
Gemini CLI 無頭模式自動信任工作區
供應鏈AI 安全不當信任
High7.8未列入2025-06-25
CVE-2026-26030
Semantic Kernel 篩選條件當成程式執行
AI 安全程式碼注入
Critical9.9未列入2025-06-25
CVE-2021-3199
ONLYOFFICE 圖片上傳路徑穿越
Critical9.8已列入—