Fortinet FortiClientEMS SQL注入漏洞(CVE-2026-21643)

Fortinet FortiClientEMS是一款由Fortinet公司开发的终端管理软件，用于企业环境中对终端设备进行安全防护和远程管理。在FortiClientEMS 7.4.4版本中，由于对SQL命令中特殊元素的无效处理，存在SQL注入漏洞。攻击者可以通过精心构造的HTTP请求执行未授权的代码或命令。

Nginx ngx_http_dav_module 堆缓冲区溢出漏洞(CVE-2026-27654)

NGINX 是一款高性能、轻量级的开源 Web 服务器与反向代理服务，广泛用于静态资源托管、负载均衡、API 网关、缓存加速等场景，支持 HTTP/HTTPS、WebDAV、HTTP/3 等多种协议，具备高并发、低资源占用、模块化扩展等特性，是全球互联网主流的服务端基础软件，被政企、云厂商、互联网企业大量部署。其 ngx\_http\_dav\_module 为 WebDAV 扩展模块，提供文件 COPY/MOVE/DELETE 等管理能力，常用于文件服务与协同场景。 该漏洞源于处理 WebDAV 协议的 MOVE 或 COPY 方法时，ngx\_http\_map\_uri\_to\_path 函数对 Destination 头部进行路径映射时出现无符号整数下溢，导致堆缓冲区溢出。该漏洞影响使用 dav\_methods 启用 COPY 或 MOVE 方法、结合前缀 location（非正则表达式）和 alias 指令的配置场景。攻击者可利用该漏洞，通过构造特殊 HTTP 请求实现任意文件读写、部署 Webshell 并最终达成远程代码执行（RCE），或造成 NGINX worker 进程崩溃导致拒绝...

Adobe Acrobat Reader 远程代码执行漏洞(CVE-2026-34621)

Adobe Acrobat Reader 是全球主流的 PDF 文档阅读、编辑与交互处理软件，广泛部署于个人终端、企业办公、政务及金融等场景，支持 PDF 渲染、表单填写、JavaScript 交互、数字签名等核心功能，是跨平台文档处理的基础工具，用户群体覆盖个人与政企全场景，全球装机量极大。该软件内置 JavaScript 引擎以实现文档动态交互，通过沙箱机制限制脚本权限，保障本地系统安全。 该漏洞源于JavaScript 引擎未能正确控制对象原型属性的修改，攻击者可以利用该漏洞制作恶意的PDF文件，诱导受害者打开特制的文件，在当前用户的上下文中执行任意代码。可能导致数据泄露、系统损坏或其他恶意行为。

Langflow autologin 致 access_token 泄漏

Langflow 是一款基于可视化界面的低代码/无代码开发工具，专为构建大模型（LLM）应用而设计。若AUTO\_LOGIN设置为True，攻击者可构造请利用 /api/v1/auto\_login 接口获取access\_token，并利用access\_token调用Langflow后台相关接口，执行任意操作，甚至可导致代码执行。

Ivanti Endpoint Manager Mobile 代码注入漏洞(CVE-2026-1340)

Ivanti Endpoint Manager Mobile是一款移动设备管理软件，用于帮助企业控制和保护移动设备。该软件存在一个代码注入漏洞，允许攻击者在未经身份验证的情况下远程执行代码。