每日高危漏洞速报 2026-07-27（13 条）
每日高危漏洞速报 · 2026-07-27
共收录 13 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述：当日 13 条漏洞中，只有 1 条被标记为在野利用，即 Arista VeloCloud Orchestrator 本地部署版存在 OS 命令注入（CVE-2026-16812）。该漏洞的 CVSS 分数在数据中为 0.0，可能表示评分缺失，因此不能据此低估它；应优先核实并修补。Apache Thrift 集中出现 4 条 9.0 分以上问题，涉及 C++ 与 c_glib 绑定，存在堆溢出、越界读取和证书校验缺陷，建议统一升级至 0.24.0。WordPress 生态仍是风险高发区，7 条漏洞涉及权限绕过、任意文件上传与未授权 SQL 注入，其中 3 条为无需认证即可利用。Linux 内核 nvmet-tcp 的两条漏洞涉及数据摘要错误路径下的 UAF，属于本地或相邻攻击场景，但影响不可忽视。
今日收录
- CVE-2026-12394 —
9.8— MemberGlut 插件前端注册未校验角色，未认证用户可注册为管理员等任意角色。 - CVE-2026-13714 —
9.8— Realtyna IDX/WPL 插件未校验上传文件类型，且接口仅由默认启用的 API 保护，可致任意文件上传。 - CVE-2026-64534 —
9.8— Linux 内核 nvmet-tcp 在数据摘要错误路径中未先检查 INIT_FAILED 就调用 uninit。 - CVE-2026-64535 —
9.8— Linux 内核 nvmet-tcp 在启用数据摘要时，摘要不匹配可触发释放后使用（UAF）。 - CVE-2026-55971 —
9.8— Apache Thrift C++ 绑定存在堆缓冲区溢出，0.24.0 之前版本受影响。 - CVE-2026-59549 —
9.3— rtMedia 4.7.10 及以下存在未认证 SQL 注入，影响 WordPress、BuddyPress、bbPress。 - CVE-2026-13332 —
9.1— Masteriyo LMS 未认证 AJAX 动作授权校验不当，攻击者可终止任意用户会话。 - CVE-2026-13597 —
9.1— 微信二维码登录插件签名校验恒通过，且在 webhook 响应中泄露登录码，可致账号劫持。 - CVE-2026-48144 —
9.1— Apache Thrift c_glib 绑定未校验证书主机名不匹配，易受中间人攻击。 - CVE-2026-58023 —
9.1— Apache Thrift c_glib 绑定存在越界读取，0.24.0 之前版本受影响。 - CVE-2026-58662 —
9.1— Apache Thrift C++ 绑定输入数量校验不当，可致越界读取。 - CVE-2026-14289 —
9.0— FacturaONE WooCommerce 插件请求处理器未认证，且保护密钥默认为空，可被绕过。 - CVE-2026-16812 —
0.0— Arista VeloCloud Orchestrator 本地部署版存在 OS 命令注入，远程攻击者可访问内部特权功能。 [KEV]