每日高危漏洞速报 2026-07-16（6 条）
每日高危漏洞速报 · 2026-07-16
共收录 6 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述：当日 6 条漏洞评分均落在 9.6–9.8 区间，属于典型的“高分集中日”，但没有任何一条被标记为在野利用，因此更需要通过主动排查、而不是应急响应来处置。风险最集中的是身份认证环节：WordPress 生态贡献两条认证绕过（SAML 签名算法混淆、OTP 校验缺失），攻击者无需有效凭据，即可直接接管账户，建议优先安排修补。Cisco RoomOS 的两条漏洞源自厂商主动内部安全审查，涉及会议终端等暴露面较大的设备，需关注官方公告细节。OpenWrt 与 AVideo 分别覆盖嵌入式网络设备与视频平台，前者影响面广、补丁门槛低，同样应纳入本轮修复窗口。
今日收录
- CVE-2026-20156 —
9.8— Cisco RoomOS 内部安全审查发现的软件漏洞，会议终端设备受影响，需要关注官方修复版本。 - CVE-2026-20157 —
9.8— 与上一条同源的 Cisco RoomOS 漏洞，在同一次审查中披露，建议一并升级。 - CVE-2026-15013 —
9.8— WordPress SAML SSO Login 插件 5.4.3 及以下版本存在签名算法混淆，可绕过认证。 - CVE-2026-12492 —
9.8— WooCommerce OTP Login 插件 2.8 之前版本未校验 OTP 是否通过，仅凭标识即可登录。 - CVE-2026-62948 —
9.6— OpenWrt 25.12.5 之前 odhcpd 将 DHCPv6 客户端 FQDN 主机名写入 leases 文件。 - CVE-2026-54458 —
9.6— AVideo 29.0 之前 YPTSocket 插件存在存储型 DOM XSS，未授权攻击者可远程触发。