每日高危漏洞速报 2026-01-07（9 条）
每日高危漏洞速报 · 2026-01-07
共收录 9 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述 当日共收录 9 条高价值漏洞，其中 2 条已被在野利用（CVE-2009-0556 微软 PowerPoint 代码注入、CVE-2025-37164 HPE OneView 未认证远程代码执行），这两条 NVD 尚未给出 CVSS 评分，但 KEV 状态说明实际风险已发生，应列为最高优先级。其余高分集中在 WordPress 生态（Themify 多款主题任意文件上传、Optional Email 插件账户接管提权、DZS Video Gallery 反序列化）与数字标牌/嵌入式设备（Plexus anblick、Sony BRAVIA、Blue Access Cobalt），均属互联网常见暴露面。另需关注 wolfSSH 密钥交换状态机缺陷，可导致客户端明文口令泄露或跳过用户认证，影响面远超单点 Web 应用。建议优先处置两条在野利用漏洞，随后按暴露情况修补 WordPress 组件与对外网开放的 SSH/标牌管理平台。
今日收录
- CVE-2025-30996 —
9.9— Themify Sidepane、Newsy、Folo 等多款 WordPress 主题存在危险类型文件无限制上传，可植入后门。 - CVE-2020-36912 —
9.8— Plexus anblick 数字标牌管理 3.1.13 的 PantallaLogin 脚本 pagina 参数存在开放重定向。 - CVE-2020-36923 —
9.8— Sony BRAVIA 数字标牌 1.7.8 存在越权访问（IDOR），可绕过授权读取隐藏系统资源。 - CVE-2025-60534 —
9.8— Blue Access Cobalt 02.000.195 存在认证绕过，可代理请求越权操作 Web 功能。 - CVE-2025-14942 —
9.8— wolfSSH 密钥交换状态机可被操纵，致客户端明文口令泄露、伪造签名或跳过认证。 - CVE-2025-15018 —
9.8— WordPress Optional Email 插件 ≤1.3.11 未限制随机口令流程，可账户接管并提权。 - CVE-2025-47552 —
9.8— DZS Video Gallery ≤12.37 反序列化不可信数据，可实施对象注入。 - CVE-2009-0556 —
0.0— PowerPoint 打开含畸形 OutlineTextRefAtom 的文件可触发代码注入并执行任意代码。[KEV] - CVE-2025-37164 —
0.0— HPE OneView 存在代码注入，远程未认证攻击者可直接执行任意代码。[KEV]