每日高危漏洞速报 2026-06-24（7 条）
每日高危漏洞速报 · 2026-06-24
共收录 7 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述：当日收录的 7 条漏洞均为 9.0 分以上的严重级别，但没有任何一条被标记为在野利用，因此整体仍处于“应优先修补、暂未发现野外攻击”的状态。风险最为集中：4 条 Linux 内核漏洞（涉及 batman-adv 与 SCTP）与 2 条 WordPress 插件账户接管漏洞（Invoice Generator、SignUp & SignIn），两者均为 9.8 分；如果站点暴露或内核受影响，应优先修补。n8n 与 yt-dlp 属于开发者工具链，其利用前提需要攻击者具备一定权限或用户交互，因此紧迫性相对较低，但在自动化环境中同样值得优先升级。
今日收录
- CVE-2026-12416 —
9.8— WordPress Invoice Generator 插件 1.0.0 及以下版本的密码重置逻辑存在缺陷，攻击者可接管账户。 - CVE-2026-12417 —
9.8— WordPress SignUp & SignIn 插件 1.0.0 及以下版本的密码重置校验过弱，导致攻击者可绕过认证并接管账户。 - CVE-2026-52914 —
9.8— Linux 内核 batman-adv 分片重组长度计算错误，可被相邻或伪造流量触发。 - CVE-2026-52924 —
9.8— Linux 内核 SCTP 处理过期 COOKIE-ECHO 时未清理发送队列，可致资源耗尽或状态错乱。 - CVE-2026-52931 —
9.8— Linux 内核 batman-adv tp_meter 使用了未初始化的发送方变量，可引发异常或崩溃。 - CVE-2026-50574 —
9.6— yt-dlp 低于 2026.06.09 版本，使用 aria2c 下载 HLS/DASH 分片时参数传递不充分。 - CVE-2026-44792 —
9.0— n8n 低于 1.123.43、2.22.1、2.20.7 版本，拥有仓库写权限者可通过 Source Control 注入代码。