資安快訊：今日重要 CVE（2026-07-16）

今天重點集中在 JupyterLab Git、Apache Kylin、Symfony 與 Twig：如果你的專案或資料平台有用到這些元件，優先檢查版本並升級到修補版。

CVE-2026-54527（嚴重度 CVSS 9.0）

影響

這個漏洞影響 jupyterlab-git，也就是 JupyterLab 裡常用的 Git 擴充套件。受影響版本是 0.30.0b3 到 0.54.0 之前。

問題出在 Git commit history 裡顯示 renamed files diff 時，檔名被直接放進 innerHTML。如果有人刻意建立特殊檔名，受害者在 Git History tab 查看 rename diff 時，可能觸發 JavaScript 執行。

該做什麼

如果你或團隊在 JupyterLab 使用 jupyterlab-git，請升級到 0.54.0 或更新版本。

CVE-2026-62392（嚴重度 CVSS 9.8）

影響

這個漏洞影響 Apache Kylin，受影響版本是 Apache Kylin 4 到 5.0.3。

問題是後端 API 可能把 job config parameters 帶到 OS command line，造成 OS command injection 風險。使用 Apache Kylin 做資料分析、OLAP 或資料平台工作的團隊需要特別注意。

該做什麼

請升級 Apache Kylin 到 5.0.4，該版本已修補此問題。

CVE-2026-45063（嚴重度 CVSS 9.1）

影響

這個漏洞影響 Symfony 的 X509Authenticator。Symfony 是 PHP web 與 console application 常用框架，也提供多個可重用 PHP components。

在 5.4.52、6.4.40、7.4.12、8.0.12 之前，X509Authenticator 從 $_SERVER['SSL_CLIENT_S_DN'] 取出 user identifier 時，使用未錨定的 regex，會在 distinguished name 任意位置匹配 emailAddress=。攻擊者若持有 trusted certificate，並在其他 RDN value（例如 CN）中放入 emailAddress=victim，可能被認成 victim。

該做什麼

如果你的 Symfony 專案使用 X509 authentication，請升級到以下修補版本之一：

• 5.4.52
• 6.4.40
• 7.4.12
• 8.0.12

CVE-2026-45069（嚴重度 CVSS 9.1）

影響

這個漏洞影響 Symfony 的 OIDC token 驗證流程。受影響版本是 6.4.40、7.4.12、8.0.12 之前。

問題出在 OidcTokenHandler::verifyClaims()：它註冊了 audience（aud）、issuer（iss）、expiry（exp）檢查器，但沒有把 mandatory claims list 傳給 ClaimCheckerManager::check()。因此，一個簽章有效但缺少這些 claims 的 JWT 可能通過驗證。

該做什麼

如果你的 Symfony 專案使用 OIDC / JWT 驗證，請升級到以下修補版本之一：

• 6.4.40
• 7.4.12
• 8.0.12

CVE-2026-47767（嚴重度 CVSS 9.8）

影響

這個漏洞影響 Symfony。受影響範圍是從 5.4.46 開始，到 5.4.52、6.4.40、7.4.12、8.0.12 之前。

這是與 CVE-2024-50340 修補相關的問題。原本修補把 runtime argv parsing 限制在 empty($_GET) 時才進行，但 parse_str() 和 web SAPI 可能對 query string 的處理不一致。攻擊者可用特製 query string 讓 $_GET 維持空值，同時讓 $_SERVER['argv'] 帶入可控制的 --env 或 --no-debug flags，進而改變 APP_ENV 或 APP_DEBUG。

該做什麼

請升級 Symfony 到以下修補版本之一：

• 5.4.52
• 6.4.40
• 7.4.12
• 8.0.12

CVE-2026-46633（嚴重度 CVSS 9.8）

影響

這個漏洞影響 Twig。Twig 是 PHP 常用的 template language，也常與 Symfony 專案一起使用。受影響版本是 3.26.0 之前。

問題出在 Compiler::string()：當 {% use %} tag 的 template name 被放進 PHP single-quoted string literal 時，沒有 escape single quotes。特製 template name 可能結束字串，並把任意 PHP expressions 注入 compiled cache file。

該做什麼

如果你的 PHP 專案使用 Twig，請升級到 3.26.0 或更新版本。

CVE-2026-46634（嚴重度 CVSS 9.8）

影響

這個漏洞影響 Twig，受影響版本是 3.9.0 到 3.26.0 之前。

問題出在 template_from_string()：它會用合成的 __string_template__<hash> 名稱編譯 inner template，而這個名稱可能落在 SourcePolicyInterface sandbox 判斷之外。若 sandboxed template 可以呼叫 template_from_string 和 include，可能在沒有 security policy enforcement 的情況下 render inner template。

該做什麼

如果你的 PHP 專案使用 Twig sandbox，或允許 template 使用 template_from_string()，請升級到 3.26.0 或更新版本。

資料來源：NVD

• https://nvd.nist.gov/vuln/detail/CVE-2026-54527
• https://nvd.nist.gov/vuln/detail/CVE-2026-62392
• https://nvd.nist.gov/vuln/detail/CVE-2026-45063
• https://nvd.nist.gov/vuln/detail/CVE-2026-45069
• https://nvd.nist.gov/vuln/detail/CVE-2026-47767
• https://nvd.nist.gov/vuln/detail/CVE-2026-46633
• https://nvd.nist.gov/vuln/detail/CVE-2026-46634