每日高危漏洞速报 2026-07-13（5 条）
每日高危漏洞速报 · 2026-07-13
共收录 5 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述 当日收录 5 条漏洞，其中 4 条为 9.0 以上的超高危漏洞：两条 Vitec Flamingo 4.12.2 未授权 OS 命令注入，可被直接远程执行命令；一条影响 WordPress 高装机量插件的支付 Webhook 伪造，涉及资金安全；另一条 Apache Gravitino 路径注入与某旧 CVE 同列。唯一带在野利用标记的是 2008 年的 Cisco IOS 跨站伪造漏洞（CVE-2008-4128），说明该老漏洞仍在被实际利用，暴露在互联网的 IOS 设备应优先处置。就修复紧迫性而言，Flamingo 两条命令注入应最先处置，其次为 WordPress 插件与 Gravitino 升级。
今日收录
- CVE-2026-60121 —
9.8— Vitec Flamingo 管理端 ping.php 存在未授权 OS 命令注入，攻击者可远程执行任意命令。 - CVE-2026-61498 —
9.8— Vitec Flamingo gen_graphs.php 同样未授权，可注入系统命令并远程执行任意指令。 - CVE-2026-11964 —
9.1— WordPress User Registration & Membership 5.2.2 之前版本未校验支付服务商 Webhook 真实性，未授权攻击者可伪造支付通知。 - CVE-2026-41041 —
9.1— Apache Gravitino 1.0.0 至 1.2.1 因用户标识未编码导致 URL 路径注入，建议升级至 1.2.1。 - CVE-2008-4128 —
0.0— Cisco IOS 12.4 存在多个跨站请求伪造问题，可借助特定 URI 与命令执行任意操作。[KEV]