每日高危漏洞速报 2026-05-16（4 条）
每日高危漏洞速报 · 2026-05-16
共收录 4 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述
今日收录 4 条漏洞，评分均在 9.1 以上，但无一被标记为在野利用，短期内暂无主动攻击迹象。风险最集中的是 Traefik（9.9）：Kubernetes Gateway API 租户可借 HTTPRoute 创建权限越权暴露后端资源，多租户集群应优先升级。其余三条分别是 WordPress 插件无限制文件上传、OpenMRS 医疗核心的条件求值缺陷与 phpMyFAQ 后台认证爆破缺乏限制；它们均为已公开修复版本的旧代码或分支，属“补丁已出、暴露面广”类型，建议按资产暴露情况排期。
今日收录
- CVE-2026-44774 —
9.9— Traefik Kubernetes Gateway API 提供者允许有 HTTPRoute 权限的租户越权暴露后端服务，需升级至 2.11.46、3.6.17、3.7.1。 - CVE-2021-47965 —
9.8— WordPress 插件 WP Super Edit 2.5.4 及更早版本，其 FCKeditor 组件无文件类型校验，可上传危险文件。 - CVE-2026-41258 —
9.1— OpenMRS Core 2.7.0 至 2.7.9 及 2.8.6 之前版本，evaluateCriteria() 求值数据库条件存在缺陷。 - CVE-2026-45010 —
9.1— phpMyFAQ 4.1.2 之前版本 /admin/check 未绑定会话即接受任意 user-id，认证尝试缺乏限制。