每日高危漏洞速报 2026-07-09（6 条）
每日高危漏洞速报 · 2026-07-09
共收录 6 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述 当日收录 6 条漏洞，评分均在 9.0 以上，暂无条目标注在野利用，但受影响产品覆盖面广，且多为可直接获取控制权的类型。CoreWCF 以 10.0 分居首，其 SAML 令牌校验缺陷直指 .NET 服务端身份认证核心，应列为最高优先级修补对象。两款 WordPress 插件（OTP 登录、Blocksy Companion）均为 9.8 分，可分别导致管理员账户接管与任意文件上传，对站点托管环境构成成片风险。Chrome for Android 的 Autofill 释放后重用可致沙箱逃逸，需随浏览器版本更新尽快跟进；repomix 未授权 SSRF 与 JupyterLab Git 的 XSS 则提醒研发工具链同样不可忽视。
今日收录
- CVE-2026-54782 —
10.0— CoreWCF 1.8.1/1.9.1 之前版本中，SAML 1.1/2.0 令牌校验缺陷，可能绕过身份验证。 - CVE-2026-14245 —
9.8— WordPress miniOrange OTP 登录插件全版本认证绕过，可接管管理员账户。 - CVE-2026-15158 —
9.8— WordPress Blocksy Companion ≤2.1.46 经 save_attachments 任意文件上传，自定义字体扩展缺陷。 - CVE-2026-15113 —
9.6— Chrome for Android 150.0.7871.115 前 Autofill 释放后重用，恶意 HTML 页面可逃逸沙箱。 - CVE-2026-59702 —
9.3— repomix 的 /api/pack 端点未做校验，未授权攻击者可发起任意出站请求（SSRF）。 - CVE-2026-54527 —
9.0— JupyterLab Git 0.30.0b3 至 0.54.0 前，文件名直入 innerHTML，重命名文件触发 XSS。