作者
Ostorlab Team
imgproxy ICO 加载器 RCE，已在 4.0.16 修复 (GHSA-hff9-5pqw-6w9f)
imgproxy 4.0.0 至 4.0.15 以一个会回绕的尺寸分配 ICO 数据内存，未认证的恶意图片请求可将其变成堆破坏；已在 4.0.16 修复。
2026年10月31日
pgAdmin 4 Import/Export RCE，已在 9.19 修复 (CVE-2026-116241)
pgAdmin 4 9.19 之前版本允许任何 Import/Export 用户在主机上运行 psql 的 TO PROGRAM 命令，登录锁定绕过让管理员密码可被无限猜解；已在 9.19 修复。
2026年10月31日
WordPress 核心更新窗口 RCE，已在 7.1.4 修复 (CVE-2026-119977)
WordPress 4.7 至 7.1.3 将核心更新解包到可预测的 Web 可访问路径，未认证攻击者竞速利用该窗口执行代码；已在 7.1.4 修复。
2026年10月31日
Langflow 自动登录超级用户绕过与经 MCP 的 RCE（CVE-2026-93680）
Langflow OSS 1.0.0 至 1.12.8 会向任意调用者发放超级用户会话，并经其 MCP 工具通往 RCE；已在 1.13.0 修复。
2026年10月30日
Ostorlab Team 的更多文章
testmetest：这款 npm 蠕虫用隐藏的发布器武装了 42 个 GitHub 仓库
名为 testmetest 的 npm 蠕虫窃取凭据，在 42 个真实 GitHub 仓库植入 AI 工具钩子并隐藏了一个包发布器；安装过即视为已被入侵。
2026年10月30日
Cursor 市场上的 Claude Code 扩展被植入木马并安装 SSH 后门
Cursor 扩展市场上的恶意 Claude Code 2.1.313 版本添加了 SSH 后门；2026 年 10 月 29 日至多有 5,000 名用户安装了它。
2026年10月30日
Drupal Commerce 访问控制绕过,已在野外被利用(CVE-2026-118539)
2.41 与 3.3.13 之前的 Drupal Commerce 允许受限用户通过 JSON:API 接手其他卖家的变体和优惠券;已在野外被利用。
2026年10月30日
Gotenberg PDF 元数据 RCE,已在野外被利用(CVE-2026-42589)
PDF 元数据键中的换行符可在未认证的 8.31.0 之前 Gotenberg 服务器上执行 Perl 代码;七个攻击者集群正在利用。
2026年10月30日
Linux 内核 TCP 握手竞态 RCE(CVE-2026-98432)
Linux 4.4 起的 IPv4 TCP 握手竞态会在使用中释放套接字选项;内核团队评分 9.8,Ubuntu 和 RHEL 尚无修复。
2026年10月30日
Telegram for Android 语音通话 RCE，已在 12.10.4 修复
Telegram for Android 8.6.2 至 12.10.3 中，受害者接听语音通话后，主叫方即可执行代码。无已知利用。已在 12.10.4 修复。
2026年10月29日
Cisco ASA 与 FTD SSL VPN DoS 已遭在野利用 (CVE-2026-76418)
未经认证的特制 SSL VPN 请求可让使用辅助认证的 Cisco ASA 与 FTD 防火墙重启；High 8.6，已被利用，列入 KEV。
2026年10月29日
GoAhead：mTLS 接受已撤销的客户端证书（CVE-2026-115881）
GoAhead 加载了证书撤销列表却从不检查，已撤销的客户端证书因此通过 mTLS；已在 6.1.1 中修复，该版本于 8 月 2 日交付设备制造商。
2026年10月29日
Oracle PeopleSoft：遭ShinyHunters利用的RCE（CVE-2026-35273）
PeopleTools 8.61 和 8.62 中无需身份验证的 RCE，经由进入 PSEMHUB 的 SSRF 链：被 ShinyHunters 作为零日漏洞利用，已在 6 月 10 日的 Oracle 安全警报中修复。
2026年10月29日
Apple CoreGraphics 代码执行漏洞在 iOS 上遭利用（CVE-2026-86950）
CVE-2026-86950 是一个已遭利用的 CoreGraphics 越界写入漏洞，已被列入 CISA KEV；iOS 和 iPadOS 26.7.1 与 18.7.11、macOS Tahoe 26.7.1 以及 Sequoia 15.8.1 已修复该漏洞。
2026年10月28日