每日高危漏洞速报 2026-01-08（5 条）
每日高危漏洞速报 · 2026-01-08
共收录 5 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述：当日收录 5 条高分漏洞，评分有 9.1–9.9 分，且均未被标记为在野利用，暂无证据表明已有实际攻击。在风险排序上，最先处理的是 n8n 的认证后远程代码执行漏洞（9.9），其次是 pnpm 安装期绕过依赖脚本限制的供应链风险，后者影响所有使用 10.x 的开发与 CI 环境。WordPress 的 WP Cost Estimation 插件缺少文件类型校验，可导致任意文件上传和删除，是暴露在公网上的站点最现实的入侵入口。此外，OWASP CRS 规则 922110 的缺陷会削弱 WAF 的检测效果，而 LibreChat 的 SSRF 漏洞则会把内部网络暴露给已认证用户，它们都需要结合资产情况安排修补。
今日收录
- CVE-2026-21877 —
9.9— n8n 0.121.2 及以下版本中，已认证的攻击者可以借助该服务执行恶意代码，进而完全控制该服务。 - CVE-2025-69264 —
9.8— pnpm 10.0.0 至 10.25 在执行 install 时，git 托管依赖可以绕过生命周期脚本限制，执行任意代码。 - CVE-2019-25296 —
9.8— WordPress 的 WP Cost Estimation 插件缺少文件类型校验，攻击者可通过 AJAX 动作任意上传或删除文件。 - CVE-2026-21876 —
9.3— OWASP CRS 在 4.22.0 / 3.3.8 之前的规则 922110 存在缺陷，可能影响 WAF 对攻击的识别。 - CVE-2025-69222 —
9.1— LibreChat 0.8.1-rc2 的 Actions 功能默认缺少限制，可被用于发起服务端请求伪造（SSRF）。