每日高危漏洞速报 2026-07-31（7 条）
每日高危漏洞速报 · 2026-07-31
共收录 7 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述：当日收录 7 条漏洞，均未被标记为在野利用，但其中 6 条 CVSS 评分达 9.8，且集中在 Apache 项目生态（JSPWiki、Kyuubi、Tika）中，攻击面以未授权远程利用为主。Juggle 因暴露的 H2 数据库 Web 控制台可被未认证攻击者直接执行任意系统命令，属于最应优先处置的一类；Apache JSPWiki 的身份冒充提权与 Kyuubi 上传接口的临时文件处理缺陷同样值得立即排期。两个 WordPress 插件漏洞（Realtyna/WPL 任意文件上传、ShopMonitor.io 邮件改道绕过）影响面广、利用门槛低，是批量站点的主要风险来源。OpenVPN Windows 交互服务的 DNS 状态污染虽评分略低，但可造成持久性影响或服务中断，建议结合终端资产清单核查版本。
今日收录
- CVE-2026-28812 —
9.8— Apache JSPWiki 至 2.12.3 的 UserManager 校验缺失，可冒充身份并提升权限 - CVE-2026-52680 —
9.8— Apache Kyuubi REST 批量上传直接采用客户端文件名创建临时资源，可被远程利用 - CVE-2026-66756 —
9.8— Apache Tika 4.0.0-alpha-1 至 beta-1 备用路径保护不当，需升级至 beta-1 - CVE-2026-67208 —
9.8— Juggle 至 1.6.0 暴露 H2 控制台，未认证攻击者可执行任意系统命令 - CVE-2026-14483 —
9.8— WordPress Realtyna IDX/WPL 插件至 5.2.0 上传校验缺失，可任意文件上传 - CVE-2026-14919 —
9.8— ShopMonitor.io 插件 1.2.0 前邮件改道测试模式仅凭请求头即可绕过限制 - CVE-2026-13379 —
9.1— OpenVPN 2.7_alpha1 至 2.7.4 Windows 交互服务可被构造搜索域污染 DNS 或致崩溃