每日高危漏洞速报 2026-07-03（13 条）
每日高危漏洞速报 · 2026-07-03
共收录 13 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述 当日 13 条漏洞全部分数达 9.1–9.8，但均无在野利用标记，风险集中在"高评分、待验证"区间。最值得优先关注的是 curl/libcurl 生态：8 条漏洞涵盖 HTTP/2 use-after-free、Digest/SASL/代理凭据跨请求泄漏、double free、cookie 绕过 PSL 等，影响几乎所有引用 libcurl 的应用与服务，建议尽快升级至修复版本。此外 Apache Lucene.Net 的 XXE、HP 打印组件 HPLIP 的不完整修复（可提权/RCE）、以及 WordPress WooCommerce 插件 Printcart 的任意文件删除同样需要重点排查。整体应优先处置 curl 系列与知名基础组件。
今日收录
- CVE-2026-58455 —
9.8— Dockwatch ≤0.6.567 认证后缺 exit()，未授权即可注入系统命令。 - CVE-2026-10536 —
9.8— libcurl 配置 HTTP/2 流依赖树时触发 use-after-free，可致内存破坏。 - CVE-2026-11856 —
9.8— libcurl 复用 Digest 认证句柄切换源站时，凭据与连接状态跨域泄漏。 - CVE-2026-8925 —
9.8— curl 的 SASL 逻辑未清空 GSASL 上下文指针，导致同一指针二次 free。 - CVE-2026-9079 —
9.8— libcurl 清理代理认证凭据失效，旧凭据被后续传输误用。 - CVE-2026-14544 —
9.8— HPLIP 为 CVE-2026-8631 的不完整修复，远程攻击者可提权或任意代码执行。 - CVE-2026-47898 —
9.8— Apache Lucene.Net.Analysis.Common 4.8.0-beta 起存在 XXE 外部实体注入。 - CVE-2026-4321 —
9.8— Destekz 组件未过滤特殊字符，存在 SQL 注入可读取或篡改数据。 - CVE-2026-9725 —
9.1— WooCommerce Printcart 插件 ≤2.5.2 路径校验不足，可任意删除文件。 - CVE-2026-11564 —
9.1— libcurl 连接池复用旧连接，默认 CA 信任配置可能被错误沿用到后续传输。 - CVE-2026-8924 —
9.1— curl cookie 解析缺陷可绕过公共后缀列表，注入"超级 cookie"污染他域。 - CVE-2026-8926 —
9.1— curl 使用 .netrc 且 URL 含用户名时，可能误取并套用错误凭据。 - CVE-2026-8927 —
9.1— libcurl 依据环境变量代理配置复用句柄时，未清除代理认证状态致凭据泄漏。