每日高危漏洞速报 2026-02-27（19 条）
每日高危漏洞速报 · 2026-02-27
共收录 19 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述 当日收录 19 条漏洞，CVSS 评分均在 9.1 以上，全部为未授权或低门槛远程利用类型，但暂无任何条目带在野利用（KEV）标记。风险高度集中在一类充电桩后端管理平台：14 条为 WebSocket 接口认证缺失、认证请求无速率限制或会话标识可复用，可被批量用于冒充站点、污染后端数据及拒绝服务。其余为知名产品单点高危：Copeland XWEB Pro 认证逻辑缺陷、WordPress Listee 主题提权、Centreon Web 盲 SQL 注入、Unitree Go2 机器狗固件远程代码执行，以及 Hoppscotch 自托管实例未授权配置覆盖。建议优先处置暴露在公网的 Hoppscotch 与 Centreon 实例，其次排查同批次充电桩平台的 WebSocket 访问控制与限流配置。
今日收录
- CVE-2026-20781 —
9.8— 充电桩平台 WebSocket 端点缺少认证，未授权攻击者可冒充站点并篡改上报后端的数据。 - CVE-2026-20792 —
9.8— WebSocket API 对认证请求无速率限制，攻击者可发起认证洪水导致拒绝服务。 - CVE-2026-24731 —
9.8— WebSocket 端点未做认证校验，未授权即可冒充充电站并伪造后端业务数据。 - CVE-2026-25113 —
9.8— WebSocket 认证接口缺乏请求频率限制，可被滥用实施拒绝服务攻击。 - CVE-2026-25114 —
9.8— WebSocket 认证请求数量无上限限制，远程攻击者可耗尽服务资源致拒绝服务。 - CVE-2026-25851 —
9.8— WebSocket 端点认证缺失，未授权攻击者可冒充合法充电站并注入伪造数据。 - CVE-2026-25945 —
9.8— WebSocket API 未限制认证请求次数，可被用于发起拒绝服务攻击。 - CVE-2026-27767 —
9.8— WebSocket 端点缺少认证机制，未授权即可冒充站点并操纵后端接收的数据。 - CVE-2026-27772 —
9.8— WebSocket 端点缺少认证机制，未授权攻击者可实施站点冒充与数据篡改。 - CVE-2026-24445 —
9.8— WebSocket 认证接口无速率限制，攻击者可高频提交认证请求造成服务不可用。 - CVE-2026-25085 —
9.8— Copeland XWEB Pro ≤1.12.1 认证例程返回异常值被当作合法结果，导致认证绕过。 - CVE-2026-26290 —
9.8— WebSocket 后端允许同一充电桩会话标识重复连接，造成可预测的会话冲突与劫持。 - CVE-2026-26305 —
9.8— WebSocket API 认证请求缺乏限流，远程攻击者可触发拒绝服务。 - CVE-2026-27028 —
9.8— WebSocket 端点未实施认证，未授权攻击者可冒充站点并操纵后端数据流。 - CVE-2026-27647 —
9.8— WebSocket 后端未校验会话标识唯一性，多端点复用同一标识引发会话可预测风险。 - CVE-2025-12981 —
9.8— WordPress Listee 主题 ≤1.1.6 因内置插件注册校验缺陷，可未授权提升账户权限。 - CVE-2026-2751 —
9.8— Centreon Web 服务中心依赖删除模块未净化数组键，可构造盲 SQL 注入读取数据。 - CVE-2026-27510 —
9.6— Unitree Go2 固件 1.1.7–1.1.11 缺少完整性校验，配合官方 App 可被远程代码执行。 - CVE-2026-28215 —
9.1— Hoppscotch <2026.2.0 未授权攻击者可覆盖自托管实例的全部基础设施配置。