每日高危漏洞速报 2026-02-19（10 条）
每日高危漏洞速报 · 2026-02-19
共收录 10 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述
当日收录 10 条漏洞，评分均在 9.0 以上，且没有在野利用（KEV）记录。其中 6 条集中在 WordPress 插件生态，类型以注册接口权限提升、任意文件上传和本地文件包含为主；这些漏洞利用门槛低、指纹易识别，是批量扫描与自动化利用的重点目标。其余为 MajorDoMo 更新渠道投毒导致的未授权 RCE、Gogs 默认暴露的未授权上传接口，以及 GitHub Enterprise Server 的令牌泄露问题，均涉及公网常见的自托管服务实例。建议优先处置对外暴露的 WordPress 站点与 Gogs、GitHub Enterprise 实例。
今日收录
- CVE-2019-25365 —
9.8— ChaosPro 2.0 配置文件路径处理存在缓冲区溢出，覆盖 SEH 后可执行任意代码。 - CVE-2026-27180 —
9.8— MajorDoMo 更新地址可被投毒，saverestore 模块 admin() 方法可未授权调用并执行代码。 - CVE-2025-12882 —
9.8— WordPress Clasifico Listing ≤2.0 注册时未限制用户角色，新账户可自行提权。 - CVE-2025-13563 —
9.8— WordPress Lizza LMS Pro ≤1.0.3 前台注册函数缺少限制，导致权限提升。 - CVE-2025-13851 —
9.8— WordPress Buyent Classified ≤1.0.7 注册流程可提权，捆绑主题同样受影响。 - CVE-2026-0926 —
9.8— WordPress Prodigy Commerce ≤3.3.0 的 template_name 参数未过滤，可致本地文件包含。 - CVE-2026-1405 —
9.8— WordPress Slider Future 图片上传函数缺少文件类型校验，可上传任意文件。 - CVE-2026-1994 —
9.8— WordPress s2Member ≤260127 未正确校验用户身份，可劫持账户并提权。 - CVE-2026-25242 —
9.8— Gogs ≤0.13.4 默认暴露未授权上传接口，关闭 RequireSigninView 时可直接利用。 - CVE-2026-0573 —
9.0— GitHub Enterprise Server 的 repository_pages API 不安全跟随重定向，可泄露授权令牌。