GitLab 修复了 CVSS 10.0 的漏洞 CVE-2026-85706：commits API 未鉴权且信任客户端文件路径，导致未登录即可读取服务器任意文件。补丁发布次日即遭在野探测，后被列入 CISA KEV。文章从补丁差异分析鉴权缺失与路径可控两个根因及官方修复思路。
Adobe ColdFusion存在任意文件读取漏洞（CVE-2024-53961），攻击者可绕过限制读取敏感文件。受影响版本包括ColdFusion 2021 Update 17及2023 Update 11。建议用户尽快升级至安全版本以防护此漏洞。
绿盟科技监测到Vite存在任意文件读取漏洞(CVE-2025-32395)，攻击者可通过特殊URL绕过路径限制，读取服务器文件。受影响版本为Vite 4.5.12至6.2.5，用户应尽快升级至新版本以修复漏洞，并建议暂时限制Vite开发服务器访问以降低风险。
Apache Kafka 存在任意文件读取漏洞（CVE-2025-27817），攻击者可通过恶意配置读取敏感信息。受影响版本为 3.1.0 至 3.9.0，建议用户及时升级至 3.9.1 以上版本以防护。可采取临时措施，如拦截请求和限制访问。
研究表明，CVE-2025-30208任意文件读取漏洞允许攻击者绕过安全限制，读取任意文件，可能导致敏感信息泄露，如SSH私钥和数据库凭证，具有严重风险。此类漏洞常被忽视，但在特定情况下可被成功利用。
文章分析GitLab仓库commits API的严重漏洞CVE-2026-85706（CVSS 10.0）：该接口缺少鉴权且直接信任客户端可控的文件路径，未登录用户可读取服务器任意文件。补丁发布次日在野出现探测，随后被列入CISA KEV目录。文章从补丁差异入手，剖析漏洞的两个根因及官方修复思路。
完成下面两步后，将自动完成登录并继续当前操作。
