每日高危漏洞速报 2026-07-10（13 条）
每日高危漏洞速报 · 2026-07-10
共收录 13 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述
当日收录 13 条漏洞，整体风险偏高，其中 2 条已确认在野利用（[KEV]），且均为 Joomla 生态扩展的无限制文件上传，可直接导致 PHP 代码上传执行，应作为最优先修补项。高分区间集中在企业级网络设施与数据平台：PAN-OS LSVPN 存在未授权 XML 注入（9.9），Apache IoTDB 一次性暴露鉴权绕过、不安全反射、路径穿越等 9.8/9.1 多项问题。WordPress 插件任意文件上传与 SQL 注入仍为高频高发类型，暴露面广、利用门槛低。另有 Linux 内核 xfrm/iptfs、SSRF、IP 摄像头重放等需关注项。
今日收录
- CVE-2026-59726 —
10.0— Ruflo 默认 docker-compose 部署下 MCP bridge 端点缺少认证，可未授权访问。 - CVE-2026-0284 —
9.9— PAN-OS LSVPN 存在 XML 注入，具网络访问的未授权攻击者可注入恶意内容。 - CVE-2026-14894 —
9.8— WordPress Super Forms 插件 submit_form 缺少校验，可任意文件上传（≤6.3.313）。 - CVE-2026-15282 —
9.8— WordPress Instant Appointment 插件缺少文件类型校验，可任意文件上传。 - CVE-2026-28564 —
9.8— Apache IoTDB REST Basic 认证接受过期缓存凭据，可致会话不过期与鉴权绕过。 - CVE-2026-40008 —
9.8— Apache IoTDB 管道处理器按外部输入实例化类，存在不安全反射风险。 - CVE-2026-53363 —
9.8— Linux 内核 xfrm/iptfs 未保留共享分片标记，可致数据处理异常。 - CVE-2026-15378 —
9.3— guardrails-detectors 解析恶意 XML Schema 可触发远程盲 SSRF。 - CVE-2026-51597 —
9.1— MERCURY MIPC252W 摄像头 RTSP Digest 认证无 nonce 过期，邻接攻击者可重放。 - CVE-2026-15300 —
9.1— WordPress GEO my WP ≤4.5.4 经 distance/lat/lng 参数存在 SQL 注入。 - CVE-2026-40005 —
9.1— Apache IoTDB 存在路径穿越，可在进程权限范围内写入任意文件。 - CVE-2026-56291 —
0.0— Balbooa Forms 存在危险类型无限制上传，未授权即可上传可执行文件 [KEV] - CVE-2026-48939 —
0.0— iCagenda 附件功能存在无限制文件上传，最终导致 PHP 代码上传执行 [KEV]