每日高危漏洞速报 2026-08-01（8 条）
每日高危漏洞速报 · 2026-08-01
共收录 8 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述 当日收录 8 条漏洞，CVSS 均在 9.1 以上；但本批无一条带 KEV 标记，即目前还没有公开证据表明它们已在野利用，短期应按照“高可利用性”来安排处置优先级，不必把它当作应急响应的对象。风险集中在三类：WordPress 插件占 3 条（含未认证 SQL 注入、认证绕过、任意文件删除），是攻击面最宽、最易被批量扫描的一组；FreeRDP、GitPython 等被广泛内嵌的基础库存在校验逻辑缺陷，影响范围随下游应用扩大；Supabase 一键模板与 Pterodactyl Wings 属于配置或模板层的默认不安全问题，仅需部署即会暴露，修复依赖升级或手工加固。建议优先处理 Participants Database、FormGent 与 TNG SSO 三款插件，以及在受影响版本区间内使用 FreeRDP 的客户端。
今日收录
- CVE-2026-52855 —
9.9— Pterodactyl Wings <1.12.3 的 egg 配置模板{{config.}}占位符可被低权限用户滥用。 - CVE-2026-15964 —
9.8— WordPress TNG 单点登录插件 ≤2.0.0 可经未认证密码重置绕过登录。 - CVE-2026-66402 —
9.8— FreeRDP ≤3.28.0 的 TLS 证书与主机名校验存在多重缺陷，可致连接劫持。 - CVE-2026-67324 —
9.8— GitPython 3.1.50 未识别-u<value>合并短选项，可绕过不安全选项拦截。 - CVE-2026-54725 —
9.6— Kubernetes vault-secrets-webhook <1.23.1 配置解析校验不当，影响 Secret 注入。 - CVE-2026-16503 —
9.1— VPS.org Supabase 模板将 PostgreSQL 暴露于 0.0.0.0:5432 且用默认口令。 - CVE-2026-3141 —
9.1— WordPress FormGent 插件附件 REST 接口缺权限校验，可未授权删除任意文件。 - CVE-2026-13596 —
9.1— WordPress Participants Database <2.7.8.4 参数未转义，未认证者可执行 SQL 注入。