每日高危漏洞速报 2026-05-05（15 条）
每日高危漏洞速报 · 2026-05-05
共收录 15 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述 当日 15 条高危漏洞全部集中在 9.1–9.9 分区间，但无一条带在野利用标记，尚无已知的活跃攻击链。风险焦点有两个：Apache Polaris 一连曝出 3 个 9.9 分漏洞，均涉及 vended 临时存储凭证被构造名称越权复用，可造成跨表、跨桶的数据泄露，属于同一根因的连带问题，应整批升级；Nginx UI 也曝出 3 条未认证接管漏洞，集中在首次安装或恢复窗口，任何暴露在公网的实例都可能被抢注管理员账号。此外，多个 WordPress 插件漏洞（认证绕过、权限提升、缺少授权）利用门槛极低，是批量扫描的重点目标。修复优先级建议：Nginx UI 与 Apache Polaris 立即处置，WordPress 插件按站点资产清点后跟进。
今日收录
- CVE-2026-42809 —
9.9— Apache Polaris 建表暂存阶段发放过宽临时存储凭证，表路径未校验即生效。 - CVE-2026-42810 —
9.9— Polaris 命名空间与表名接受*，构造名称使临时 S3 策略通配越权。 - CVE-2026-42811 —
9.9— 构造命名空间或表名可使 Polaris 签发的 GCS 短期凭证跨表生效。 - CVE-2026-42812 —
9.9— Apache Iceberg 表属性 write.metadata.path 未受控，可篡改元数据控制文件。 - CVE-2026-42027 —
9.8— OpenNLP ExtensionLoader 经模型清单实例化任意类，需加载恶意模型。 - CVE-2026-42076 —
9.8— Evolver 的 _extractLLM() 存在命令注入，可执行任意 shell 命令。 - CVE-2026-42221 —
9.8— Nginx UI 全新实例初始化窗口被未认证攻击者抢占管理员账号。 - CVE-2026-42222 —
9.8— Nginx UI 2.3.5 安装接口 POST /api/install 存在未认证引导接管。 - CVE-2026-42238 —
9.8— Nginx UI 恢复接口 POST /api/restore 在初始 10 分钟内完全无鉴权。 - CVE-2026-5722 —
9.8— WordPress MoreConvert Pro 访客等候名单校验未失效，可绕过认证。 - CVE-2025-13618 —
9.8— WordPress Mentoring 插件未限制注册角色，攻击者可自注册提权。 - CVE-2026-5294 —
9.8— WordPress Geeky Bot 的 nopriv AJAX 路由缺少授权，可调度任意函数。 - CVE-2026-42090 —
9.6— Notesnook Web、桌面与移动端存储型 XSS，需受害者打开恶意笔记。 - CVE-2026-42088 —
9.6— OpenC3 COSMOS Script Runner 控件允许执行 Python 脚本，可被滥用。 - CVE-2026-40682 —
9.1— OpenNLP 字典解析未净化，攻击者提供恶意字典即触发 XXE。