每日高危漏洞速报 2026-06-19（9 条）
每日高危漏洞速报 · 2026-06-19
共收录 9 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述 当日共收录 9 条高危漏洞，均未标记为已在野利用（无 KEV 条目），但评分集中分布在 9.1–10.0 区间，风险密度较高。最需优先处理的是 Apache APISIX 一次性披露的三条认证类缺陷（jwt-auth 绕过、openid-connect 身份伪造、jwe-decrypt 认证绕过），它们都出现在默认配置下，且可以直接绕过边界鉴权，影响所有对外暴露的 APISIX 网关。WordPress 生态仍是重灾区：BetterDocs Pro 的未授权本地文件包含和 Avada Builder 的任意文件删除，均可被低门槛利用。另外，mcp-pinot 以 10.0 满分居首，原因是其默认监听 0.0.0.0:8080；pgAdmin 4、Bitnami Cassandra 镜像和 cas-auth 则分别带来存储型 XSS、默认超级用户残留与 CSRF 风险。
今日收录
- CVE-2026-49257 —
10.0— mcp-pinot 3.0.1 及以下默认将 HTTP MCP 服务绑定 0.0.0.0:8080，管理面直接暴露。 - CVE-2026-47846 —
9.8— Bitnami Cassandra 容器镜像在配置自定义管理员账户后，仍保留默认超级用户。 - CVE-2026-7515 —
9.8— WordPress BetterDocs Pro ≤3.8.0 可经 doc_style 参数在未授权情况下实施本地文件包含。 - CVE-2026-12048 —
9.3— pgAdmin 4 在渲染错误信息和执行计划节点时，对数据库返回文本处理不当，存在存储型 XSS。 - CVE-2026-49871 —
9.3— cas-auth 插件在默认配置下存在 CSRF，诱使受害者访问攻击者页面即可触发。 - CVE-2026-8713 —
9.1— WordPress Avada Builder 的 maybe_delete_files 路径校验不足，可导致任意文件删除。 - CVE-2026-39999 —
9.1— Apache APISIX jwt-auth 插件在特定配置下可借大小写变换完全绕过认证。 - CVE-2026-44087 —
9.1— Apache APISIX openid-connect 插件默认配置下校验不足，攻击者可伪造身份。 - CVE-2026-49230 —
9.1— Apache APISIX jwe-decrypt 插件默认配置下完整性校验缺陷，可致认证绕过。