2026-10-20 23:22:46 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

cover_image

CNVD漏洞周报2026年第20期

原创

CNVD
CNVD

CNVD漏洞平台

2026年5月25日 17:55
北京

在小说阅读器读本章

去阅读

2026年05月18日-2026年05月24日

本周漏洞态势研判情况

本周信息安全漏洞威胁整体评价级别为中。

国家信息安全漏洞共享平台（以下简称CNVD）本周共收集、整理信息安全漏洞632个，其中高危漏洞285个、中危漏洞289个、低危漏洞58个。漏洞平均分值为6.36。本周收录的漏洞中，涉及0day漏洞522个（占83%），其中互联网上出现“TRENDnet TEW-713RE命令注入漏洞、uBidAuction跨站脚本漏洞”等零日代码攻击漏洞。本周CNVD接到的涉及党政机关和企事业单位的漏洞总数7775个，与上周（7930个）环比减少2%。

‍图1CNVD收录漏洞近10周平均分值分布图

图2CNVD 0day漏洞总数按周统计

本周漏洞事件处置情况

本周，CNVD向银行、保险、能源等重要行业单位通报漏洞事件9起，向基础电信企业通报漏洞事件5起，协调CNCERT各分中心验证和处置涉及地方重要部门漏洞事件1007起，协调教育行业应急组织验证和处置高校科研院所系统漏洞事件16起，向国家上级信息安全协调机构上报涉及部委门户、子站或直属单位信息系统漏洞事件44起。

图3CNVD各行业漏洞处置情况按周统计

图4CNCERT各分中心处置情况按周统计

图5CNVD教育行业应急组织处置情况按周统计

此外，CNVD通过已建立的联系机制或涉事单位公开联系渠道向以下单位通报了其信息系统或软硬件产品存在的漏洞，具体处置单位情况如下所示：

众勤通信设备贸易（上海）有限公司、中控技术股份有限公司、浙江兰德纵横网络技术股份有限公司、友讯电子设备（上海）有限公司、用友网络科技股份有限公司、兄弟（中国）商业有限公司、武汉天地伟业科技有限公司、武汉达梦数据库有限公司、无锡信捷电气股份有限公司、维沃移动通信（深圳）有限公司、微软（中国）有限公司、万洲电气股份有限公司、统信软件技术有限公司、通州区华丽软件工作室、天津黑核科技有限公司、深圳市月歌科技有限公司、深圳市思迅软件股份有限公司、深圳市磊科实业有限公司、深圳市捷顺科技实业股份有限公司、深圳市吉祥腾达科技有限公司、深圳极速创想科技有限公司、上海卓卓网络科技有限公司、上海锐昉科技有限公司、上海穆云智能科技有限公司、上海汇尼信息科技有限公司、上海华测导航技术股份有限公司、上海鸿翼软件技术股份有限公司、上海孚盟软件有限公司、泛微网络科技股份有限公司、熵基科技股份有限公司、陕西银河电力自动化股份有限公司、山东省国土空间数据和遥感技术研究院、山东比特智能科技股份有限公司、厦门四信通信科技有限公司、厦门熵基科技有限公司、瑞斯康达科技发展股份有限公司、苹果电子产品商贸（北京）有限公司、南京科远智慧科技集团股份有限公司、摩莎科技（上海）有限公司、乐金电子（中国）有限公司、廊坊市极致网络科技有限公司、吉翁电子（深圳）有限公司、惠普贸易（上海）有限公司、华硕电脑（上海）有限公司、湖南省众达数蔚信息技术有限公司、湖南果度科技有限公司、合肥金星智控科技股份有限公司、杭州云深处科技股份有限公司、杭州宇树科技有限公司、杭州映云科技有限公司、杭州可道云网络有限公司、杭州白书科技有限公司、广州虎牙信息科技有限公司、广联达科技股份有限公司、勾股CMS、帝国软件、成都同望科技有限公司、成都索贝数码科技股份有限公司、成都飞鱼星科技股份有限公司、畅捷通信息技术股份有限公司、北京中农信达信息技术有限公司、北京致远互联软件股份有限公司、北京长京益康信息科技有限公司、北京用友政务软件股份有限公司、北京亿赛通科技发展有限责任公司、北京星网锐捷网络技术有限公司、北京神州视翰科技有限公司、北京深度进化科技有限公司、北京派网软件有限公司、北京龙腾八方文化有限责任公司、北京九思协同软件有限公司、北京金和网络股份有限公司、北京国炬信息技术有限公司、宝健（中国）有限公司、半月谈新媒体科技有限公司、百度安全应急响应中心、安科瑞电气股份有限公司、安徽省赛达科技有限责任公司、阿里巴巴集团安全应急响应中心、厦门亿联网络技术股份有限公司。

本周漏洞报送情况统计

本周报送情况如表1所示。其中，北京启明星辰信息安全技术有限公司、新华三技术有限公司、深信服科技股份有限公司、华为技术有限公司、南京众智维信息科技有限公司等单位报送公开收集的漏洞数量较多。联想集团、北京航空航天大学、江苏金盾检测技术股份有限公司、成都卫士通信息安全技术有限公司、亚信科技（成都）有限公司、北京快手科技有限公司、成都久信信息技术股份有限公司、河南东方云盾信息技术有限公司、中孚安全技术有限公司、深圳市网安计算机安全检测技术有限公司、北京山石网科信息技术有限公司、湖南泛联新安信息科技有限公司、海南大学、江苏百达智慧网络科技有限公司（含光实验室）、中资网络信息安全科技有限公司、宝鸡市阳光网络技术有限公司、张家港市浩鲸智慧科技有限公司、中国银联股份有限公司、山西护网信息科技有限公司、太极计算机股份有限公司、中国烟草总公司湖北省公司、信息产业信息安全测评中心、南京泛舟信息科技有限公司、上海观安信息技术股份有限公司、浙江大学控制科学与工程学院、平安银河实验室、合肥锐盾网络科技有限公司、海南神州希望网络有限公司及其他个人白帽子向CNVD提交了7775个以事件型漏洞为主的原创漏洞，其中包括奇安信网神（补天平台）、三六零数字安全科技集团有限公司、斗象科技（漏洞盒子）和上海交大向CNVD共享的白帽子报送5576条原创漏洞信息。

表1漏洞报送情况统计表

本周漏洞按类型和厂商统计

本周，CNVD收录了632个漏洞。WEB应用282个，应用程序195个，网络设备（交换机、路由器等网络端设备）97个，操作系统24个，智能设备（物联网终端设备）14个，数据库14个，安全产品6个。

表2漏洞按影响类型统计表

图6本周漏洞按影响类型分布

CNVD整理和发布的漏洞涉及安科瑞电气股份有限公司、Mozilla、D-Link等多家厂商的产品，部分漏洞数量按厂商统计如表3所示。

表3漏洞产品涉及厂商分布统计表

本周行业漏洞收录情况

本周，CNVD收录了13个电信行业漏洞，4个移动互联网行业漏洞，1个工控行业漏洞（如下图所示）。其中，“Zyxel NWA50AX PRO路径遍历漏洞、Google Android堆缓冲区溢出漏洞（CNVD-2026-20788）”等漏洞的综合评级为“高危”。相关厂商已经发布了漏洞的修补程序，请参照CNVD相关行业漏洞库链接。

电信行业漏洞链接：http://telecom.cnvd.org.cn/

移动互联网行业漏洞链接：http://mi.cnvd.org.cn/

工控系统行业漏洞链接：http://ics.cnvd.org.cn/

图7电信行业漏洞统计

图8移动互联网行业漏洞统计

图9工控系统行业漏洞统计

本周重要漏洞安全告警

本周，CNVD整理和发布以下重要安全漏洞信息。

1、Google产品安全漏洞

Google Chrome是美国谷歌（Google）公司的一款Web浏览器。Google Go是美国谷歌（Google）公司的一种静态强类型、编译型、并发型，并具有垃圾回收功能的编程语言。Google Android是美国谷歌（Google）公司的一套以Linux为基础的开源操作系统。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞通过特制HTML页面实现沙箱逃逸，通过特制的HTML页面执行越界内存写入，导致执行任意代码和本地权限提升等。

CNVD收录的相关漏洞包括：Google Chrome Proxy内存错误引用漏洞、Google Chrome WebRTC整数溢出漏洞（CNVD-2026-20726）、Google Chrome WebView组件内存错误引用漏洞、Google Chrome资源管理错误漏洞（CNVD-2026-20729）、Google Go资源管理错误漏洞（CNVD-2026-20728）、Google Chrome ANGLE整数溢出漏洞（CNVD-2026-20730）、Google Android权限提升漏洞（CNVD-2026-20787）、Google Android堆缓冲区溢出漏洞（CNVD-2026-20788）。上述漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-20724

https://www.cnvd.org.cn/flaw/show/CNVD-2026-20726

https://www.cnvd.org.cn/flaw/show/CNVD-2026-20725

https://www.cnvd.org.cn/flaw/show/CNVD-2026-20729

https://www.cnvd.org.cn/flaw/show/CNVD-2026-20728

https://www.cnvd.org.cn/flaw/show/CNVD-2026-20730

https://www.cnvd.org.cn/flaw/show/CNVD-2026-20787

https://www.cnvd.org.cn/flaw/show/CNVD-2026-20788

2、Microsoft产品安全漏洞

Microsoft Dynamics 365是美国微软（Microsoft）公司的一套适用于跨国企业的ERP业务解决方案。用于财务管理、生产管理和商业智能管理等。Microsoft Excel是美国微软（Microsoft）公司的一款Office套件中的电子表格处理软件。Microsoft Windows Hyper-V是美国微软（Microsoft）公司的一款可提供硬件虚拟化的工具。该软件允许创建虚拟硬盘驱动器、虚拟交换机以及许多其他虚拟设备。Microsoft Office是美国微软（Microsoft）公司的一款办公软件套件产品。该产品常用组件包括Word、Excel、Access、Powerpoint、FrontPage等。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞获取敏感信息，在系统上执行任意代码等。

CNVD收录的相关漏洞包括：Microsoft Dynamics 365远程代码执行漏洞（CNVD-2026-20792、CNVD-2026-20794）、Microsoft Excel代码执行漏洞（CNVD-2026-20795、CNVD-2026-20797）、Microsoft Excel信息泄露漏洞（CNVD-2026-20796）、Microsoft Windows Hyper-V权限提升漏洞（CNVD-2026-20798）、Microsoft Office代码执行漏洞（CNVD-2026-20800、CNVD-2026-20801）。上述漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-20792

https://www.cnvd.org.cn/flaw/show/CNVD-2026-20794

https://www.cnvd.org.cn/flaw/show/CNVD-2026-20795

https://www.cnvd.org.cn/flaw/show/CNVD-2026-20796

https://www.cnvd.org.cn/flaw/show/CNVD-2026-20797

https://www.cnvd.org.cn/flaw/show/CNVD-2026-20798

https://www.cnvd.org.cn/flaw/show/CNVD-2026-20800

https://www.cnvd.org.cn/flaw/show/CNVD-2026-20801

3、Mozilla产品安全漏洞

Mozilla Firefox是一款开源Web浏览器。Mozilla Firefox ESR是Firefox（Web浏览器）的一个延长支持版本。Mozilla Thunderbird是一套从Mozilla Application Suite独立出来的电子邮件客户端软件。该软件支持IMAP、POP邮件协议以及HTML邮件格式。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞绕过安全限制，获取敏感信息，在系统上执行任意代码或导致应用程序崩溃。

CNVD收录的相关漏洞包括：Mozilla Firefox和Mozilla Thunderbird缓冲区溢出漏洞（CNVD-2026-20783、CNVD-2026-21384）、多款Mozilla产品缓冲区溢出漏洞、Mozilla Firefox和Mozilla Thunderbird资源管理错误漏洞（CNVD-2026-21383）、Mozilla Firefox和Mozilla Thunderbird信息泄露漏洞、Mozilla Firefox和Mozilla Thunderbird代码问题漏洞、Mozilla Firefox和Mozilla Thunderbird安全绕过漏洞（CNVD-2026-21388、CNVD-2026-21390）。上述漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-20783

https://www.cnvd.org.cn/flaw/show/CNVD-2026-20784

https://www.cnvd.org.cn/flaw/show/CNVD-2026-21383

https://www.cnvd.org.cn/flaw/show/CNVD-2026-21384

https://www.cnvd.org.cn/flaw/show/CNVD-2026-21386

https://www.cnvd.org.cn/flaw/show/CNVD-2026-21387

https://www.cnvd.org.cn/flaw/show/CNVD-2026-21388

https://www.cnvd.org.cn/flaw/show/CNVD-2026-21390

4、Adobe产品安全漏洞

Adobe Substance3D Painter是美国奥多比（Adobe）公司的一个3D场景构建软件。Adobe Bridge是一款用于组织、浏览和管理创意资产的文件管理工具。Adobe Substance3D Designer是美国奥多比（Adobe）公司的一个纹理与材质创作软件。Adobe Bridge是一款专业的图像、视频和音频文件管理器，用于组织和浏览数字资产。Adobe After Effects是美国奥多比（Adobe）公司的一套视觉效果和动态图形制作软件。该软件主要用于2D和3D合成、动画制作和视觉特效制作等。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞在当前用户环境中执行任意代码，导致应用程序拒绝服务，导致内存信息泄露等。

CNVD收录的相关漏洞包括：Adobe Substance3D Painter代码问题漏洞（CNVD-2026-20735）、Adobe Substance3D Painter缓冲区溢出漏洞（CNVD-2026-20734）、Adobe Bridge堆缓冲区溢出漏洞（CNVD-2026-20732）、Adobe Substance3D Designer代码问题漏洞（CNVD-2026-20736）、Adobe Bridge越界写入漏洞（CNVD-2026-20738）、Adobe Bridge整数溢出漏洞（CNVD-2026-20739）、Adobe After Effects输入验证错误漏洞（CNVD-2026-21392）、Adobe After Effects缓冲区溢出漏洞（CNVD-2026-21391）。其中，除“Adobe Substance3D Painter代码问题漏洞（CNVD-2026-20735）、Adobe Substance3D Painter缓冲区溢出漏洞（CNVD-2026-20734）、Adobe Substance3D Designer代码问题漏洞（CNVD-2026-20736）”外其余漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-20735

https://www.cnvd.org.cn/flaw/show/CNVD-2026-20734

https://www.cnvd.org.cn/flaw/show/CNVD-2026-20732

https://www.cnvd.org.cn/flaw/show/CNVD-2026-20736

https://www.cnvd.org.cn/flaw/show/CNVD-2026-20738

https://www.cnvd.org.cn/flaw/show/CNVD-2026-20739

https://www.cnvd.org.cn/flaw/show/CNVD-2026-21392

https://www.cnvd.org.cn/flaw/show/CNVD-2026-21391

5、D-Link DI-8003缓冲区溢出漏洞（CNVD-2026-20772）

D-Link DI-8003是中国友讯（D-Link）公司的一款无线路由器。本周，D-Link DI-8003被披露存在缓冲区溢出漏洞，该漏洞是由于web\_keyword.asp中的边界检查不正确造成的，攻击者可利用该漏洞导致拒绝服务。CNVD提醒广大用户随时关注厂商主页，以获取最新版本。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-20772

小结：本周，Google产品被披露存在多个漏洞，攻击者可利用漏洞通过特制HTML页面实现沙箱逃逸，通过特制的HTML页面执行越界内存写入，导致执行任意代码和本地权限提升等。此外，Microsoft、Mozilla、Adobe等多款产品被披露存在多个漏洞，攻击者可利用漏洞绕过安全限制，获取敏感信息，在系统上执行任意代码或导致应用程序崩溃等。另外，D-Link DI-8003被披露存在缓冲区溢出漏洞，攻击者可利用该漏洞导致拒绝服务。建议相关用户随时关注上述厂商主页，及时获取修复补丁或解决方案。

本周重要漏洞攻击验证情况

本周，CNVD建议注意防范以下已公开漏洞攻击验证情况。

*1、TRENDnet TEW-713RE命令注入漏洞*

验证描述

TRENDnet TEW-713RE是美国趋势网络（TRENDnet）公司的一款无线网络范围延展器。

TRENDnet TEW-713RE存在命令注入漏洞，该漏洞源于对文件/goform/setSysAdm中参数admuser的错误操作，攻击者可利用该漏洞导致命令注入。

验证信息

POC链接：

https://github.com/panda666-888/vuls/blob/main/trendnet/tew-713re/setSysAdm.md

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-20892

信息提供者