每日高危漏洞速报 2026-07-29（17 条）
每日高危漏洞速报 · 2026-07-29
共收录 17 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述：当日 17 条情报中 Apache Traffic Server 占据 10 条，涵盖请求走私、越界写、UAF 与证书签发缺陷，多个满分条目集中在同一产品，说明其 HTTP 解析与插件层存在系统性风险，反向代理与 CDN 场景应优先整体升级。5 条 WordPress 生态漏洞（插件与主题）均为未授权即可利用的认证绕过、任意函数调用或 RCE，暴露面广、利用门槛低。唯一在野利用条目为 Cisco Secure Firewall Management Center 的硬编码密码（CVE-2026-20316），虽评分数据缺失，但远程未认证即可利用，应置于修补队列首位。
今日收录
- CVE-2026-33267 —
10.0— Apache Traffic Server 输入校验不当，影响 9.2.0–9.2.14 与 10.1.0–10.1.3。 - CVE-2026-57834 —
10.0— ATS 未正确处理畸形分块消息，8.x 至 10.x 多分支可被请求走私。 - CVE-2026-58150 —
10.0— ATS 未拒绝 HTTP/2 中的 Transfer-Encoding，可降级实施请求走私。 - CVE-2026-58162 —
10.0— ATS certifier 插件依据攻击者可控的客户端 SNI 签发证书。 - CVE-2026-18072 —
9.8— WordPress 视频嵌入插件 10.8.7 含硬编码后门，可绕过认证。 - CVE-2026-13423 —
9.8— Streamit 主题 4.5.2 前未授权 AJAX 路由可调用任意 PHP 函数。 - CVE-2025-10656 —
9.8— WooCommerce 价格更改插件 ≤2.4.37 缺授权，可篡改商品价格。 - CVE-2026-58177 —
9.8— ATS Cripts 框架存在越界写、路径穿越与释放后使用，10.0.0–10.1.3 受影响。 - CVE-2026-58179 —
9.8— ATS regex_remap 插件由替换输入触发栈溢出与整数溢出。 - CVE-2026-58185 —
9.8— ATS intercept 插件存在释放后使用，8.x 至 10.1.3 均受影响。 - CVE-2026-59243 —
9.8— FAB auth manager 的 Azure AD OAuth 默认不验签，可伪造 ID token 登录。 - CVE-2026-14900 —
9.8— Cost Calculator Builder PRO ≤4.0.3 经 js_to_php 净化不足致 RCE。 - CVE-2026-41920 —
9.3— Apache Traffic Server 访问控制不当，影响 9.0.0–9.1.14 与 10.0.0–10.1.3。 - CVE-2026-58155 —
9.3— ATS 截断超长请求头名，可致头别名、请求走私与策略绕过。 - CVE-2026-58163 —
9.1— ATS 磁盘缓存字段与对象生命周期处理错误，可致状态损坏或崩溃。 - CVE-2026-14488 —
9.1— Meta Box AIO ≤3.8.0 前端提交的 template_redirect 分发缺授权校验。 - CVE-2026-20316 —
0.0— Cisco Secure Firewall Management Center 硬编码密码，未认证远程可利用。 [KEV]