ServiceNow 修补 AI 平台 4 个高危漏洞，3 个获评 CVSS 10.0
TechNadu · x · 2026-08-29
ServiceNow 发布安全更新，修复了影响其 AI 平台的 4 个漏洞，其中 3 个被评为最高严重级别（CVSS 10.0）。
漏洞详情：
- CVE-2026-18885 (CVSS 10.0)：GraphQL Composite Data API 代码注入漏洞，允许未认证用户执行任意代码并访问/修改实例数据。
- CVE-2026-18886 (CVSS 10.0)：系统配置图片上传处理器访问控制不当，导致未认证用户提权并修改数据。
- CVE-2026-74820 (CVSS 10.0)：动态 schema ORDER BY 子句存在 SQL 注入，允许执行任意 SQL 语句。
- CVE-2026-6876 (CVSS 8.7)：Now Platform 沙箱逃逸，允许执行任意代码。
受影响版本包括 Xanadu、Yokohama、Zurich 和 Australia。托管实例已自动更新，自托管客户需手动应用补丁。
所属事件:ServiceNow 修复 AI 平台四个漏洞 三个获评 CVSS 满分(2 条相关)→
「安全」频道最新
- Anthropic 红队两年来首次“抹除”模型，GLM-5.3 拒答率从 90% 跌至 3% — cephaloform · 2026-10-16
- 研究者首次接触野外失控 Agent 舰队，来自腾讯评估团队、攻击高德 — mattsheehan88 · 2026-10-16
- Anthropic 开放类员工权限，METR 等第三方评估者将公开风险报告 — AnthropicAI · 2026-10-16
- APEX-Harm 基准:共享工作区中脚本注入攻击对智能体成功率居高不下 — KAUST · 2026-10-16
- USC 研究:智能体 residual stream 状态可预测并拦截越权动作与事后撒谎 — USC · 2026-10-16
- Perplexity 开源 SPACE:Firecracker microVM 隔离每个 agent 任务 — perplexity_ai · 2026-10-16