每日高危漏洞速报 2026-07-08（10 条）
每日高危漏洞速报 · 2026-07-08
共收录 10 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述
当日收录的 10 条漏洞 CVSS 评分均达到 9.1 以上，属于极高危级别，但目前尚无条目确认已在野利用（无 KEV）。风险集中在两类产品：Esri Portal for ArcGIS 出现认证缺失与弱密码找回两个 9.8 分问题，可被未认证远程利用，影响面广，应优先修补；WordPress 生态插件（Eventer、WP Learn Manager、Blocksy Companion Pro、Simple Coherent Form）占 4 条，涵盖密码重置密钥明文存储、授权绕过、任意文件上传与删除，攻击门槛低。此外，OpenSSH 客户端密钥重协商时的释放后使用、Apache Gravitino 经 H2 JDBC URL 的代码执行，以及 9Router、Coder 的未认证命令注入与校验缺陷，均值得纳入修复清单。
今日收录
- CVE-2026-13019 —
9.8— Esri Portal for ArcGIS 12.1 及更早版本的关键功能缺少认证，未认证远程攻击者可直接访问。 - CVE-2026-13020 —
9.8— 同产品密码找回机制薄弱，远程未授权攻击者可冒充账户所有者。 - CVE-2026-59800 —
9.8— 9Router 0.4.44 前未认证接口存在 OS 命令注入，可远程执行任意命令。 - CVE-2026-9701 —
9.8— WordPress Eventer 插件 4.4.2 及更早以明文存储重置密钥，存在不安全密码重置机制。 - CVE-2026-12153 —
9.8— WordPress WP Learn Manager 1.1.8 及更早未正确校验用户授权，可绕过权限检查。 - CVE-2026-58480 —
9.8— Blocksy Companion Pro 2.1.47 前未认证任意文件上传，绕过扩展名校验上传可执行文件。 - CVE-2026-60002 —
9.4— OpenSSH 10.4 前客户端在主机密钥重协商变更时存在释放后使用。 - CVE-2026-46354 —
9.1— Coder 多个 2.24.5/2.33.3 前版本中 azureidentity.Validate() 校验不充分，可被绕过。 - CVE-2026-14487 —
9.1— WordPress Simple Coherent Form 插件路径校验不足，导致任意文件删除。 - CVE-2026-41042 —
9.1— Apache Gravitino 的 testConnection API 可注入恶意 H2 JDBC URL，经 INIT 参数执行任意 Java 代码。