上周关注度较高的产品安全漏洞(20260518-20260524)

原创

CNVD
CNVD

CNVD漏洞平台

2026年5月25日 17:55
北京

在小说阅读器读本章

去阅读

一、境外厂商产品漏洞

1、Apache OFBiz Content组件服务端请求伪造漏洞

Apache OFBiz是美国阿帕奇（Apache）基金会的一套企业资源计划（ERP）系统。该系统提供了一整套基于Java的Web应用程序组件和工具。Apache OFBiz Content组件存在服务端请求伪造漏洞，目前没有详细的漏洞细节提供。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-21174

2、Adobe ColdFusion路径遍历漏洞（CNVD-2026-20791）

Adobe ColdFusion是美国奥多比（Adobe）公司的一套快速应用程序开发平台。该平台包括集成开发环境和脚本语言。Adobe ColdFusion存在路径遍历漏洞，攻击者可利用该漏洞绕过安全限制，访问预期范围之外的未授权文件或目录。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-20791

3、Apache CloudStack竞争条件问题漏洞

Apache CloudStack是美国阿帕奇（Apache）基金会的一套基础架构即服务（IaaS）云计算平台。该平台主要用于部署和管理大型虚拟机网络。Apache CloudStack存在竞争条件问题漏洞。该漏洞源于资源计数和增量逻辑中存在多个检查时间使用时间竞争条件以及缺少验证，攻击者可利用该漏洞导致用户超出分配限制，从而降低基础设施资源并导致拒绝服务。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-20428

4、Adobe Experience Manager跨站脚本漏洞（CNVD-2026-20790）

Adobe Experience Manager（AEM）是美国奥多比（Adobe）公司的一套可用于构建网站、移动应用程序和表单的内容管理解决方案。该方案支持移动内容管理、营销销售活动管理和多站点管理等。Adobe Experience Manager存在跨站脚本漏洞。该漏洞是由于对用户提供的输入验证不当造成的，攻击者可利用该漏洞窃取受害者基于cookie的身份验证凭据。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-20790

5、Linux kernel Dirty Frag权限提升漏洞（CNVD-2026-21360）

Linux kernel是美国Linux基金会的开源操作系统Linux所使用的内核。Linux kernel Dirty Frag存在权限提升漏洞，该漏洞源于rxrpc中DATA和RESPONSE数据包处理时未对分页片段进行分离，攻击者可利用该漏洞导致就地解密路径绑定外部分页片段。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-21360

二、境内厂商产品漏洞

1、ZTE ZXCLOUD iRAI openssl.cnf权限提升漏洞

ZTE ZXCLOUD iRAI是一款云计算终端管理产品，主要提供虚拟桌面接入和远程管理功能。ZTE ZXCLOUD iRAI存在openssl.cnf权限提升漏洞，该漏洞源于程序对openssl.cnf文件的权限控制不当，攻击者可利用该漏洞在本地执行任意代码并提升权限。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-21306

2、Huawei HarmonyOS拒绝服务漏洞（CNVD-2026-21278）