每日高危漏洞速报 2026-07-07（12 条）
每日高危漏洞速报 · 2026-07-07
共收录 12 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述
当日共收录 12 条漏洞，其中 4 条已被标记为 KEV，涉及 Adobe ColdFusion、Langflow 及两款页面构建器，且均已在野利用，应优先排查暴露面。Adobe ColdFusion 的路径遍历可导致任意代码执行，Langflow 的授权绕过可跨用户执行 flow。高分条目集中在 Esri ArcGIS Server 未认证目录遍历与文件上传、Coolify 已认证命令注入，以及 Crawl4AI 参数注入。WordPress 生态仍存在恶意代码分发与插件 RCE；修复时需同时关注供应链风险与插件更新。
今日收录
- CVE-2026-57572 —
10.0— Crawl4AI 0.9.0 前 Docker API 可注入 Chromium 启动参数。 - CVE-2026-34038 —
9.9— Coolify 4.0.0-beta.469 前应用部署功能存在已认证远程命令注入。 - CVE-2026-9181 —
9.8— Esri ArcGIS Server 存在目录遍历，未认证攻击者可构造路径参数利用。 - CVE-2026-9182 —
9.8— Esri ArcGIS Server 存在无限制文件上传，未认证攻击者可上传构造文件。 - CVE-2026-12375 —
9.8— uncanny-automator-pro 7.3.0.6 前因分发设施被入侵而携带恶意代码。 - CVE-2026-14345 —
9.8— WPFunnels WooCommerce 插件 3.12.7 及之前版本存在远程代码执行。 - CVE-2026-33264 —
9.8— Scheduler/API Server 反序列化 DAG 时可加载攻击者可控类路径。 - CVE-2026-4375 —
9.0— DoLeads Integrator 与 wp2epub WordPress 插件至 0.65 可被用于实现 RCE。 - CVE-2026-48908 —
0.0— JoomShaper SP Page Builder 存在未认证任意文件上传，可上传危险类型文件。 [KEV] - CVE-2026-55255 —
0.0— Langflow 存在授权绕过，已认证攻击者可指定他人 flow 并执行。 [KEV] - CVE-2026-56290 —
0.0— Joomlack Page Builder 访问控制不当，未认证任意文件上传可致 RCE。 [KEV] - CVE-2026-48282 —
0.0— Adobe ColdFusion 存在路径遍历，可导致当前用户上下文任意代码执行。 [KEV]