每日高危漏洞速报 2026-08-03（10 条）
每日高危漏洞速报 · 2026-08-03
共收录 10 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述 当日收录 10 条高危漏洞，其中 9 条集中在 WordPress 生态，且几乎全部可由未授权或低权限用户触发，攻击面以文件上传、SQL 注入、认证与密码重置逻辑缺陷为主，一旦站点存在对应插件即等同于对外暴露入口，应优先排查并升级。唯一带在野利用标记的是 N-able N-central 的认证绕过漏洞，N-central 属广泛部署的 MSP 远程运维平台，一旦被利用可直接导致账户接管并横向渗透下游客户，风险权重显著高于其余条目。此外 ChamaWP 的密码重置缺陷可让未授权者直接夺取管理员账户，同样值得置于修补队列前列。建议先处置 N-central 与可致管理员接管的插件漏洞，再按插件实际启用情况批量升级其余 WordPress 组件。
今日收录
- CVE-2026-12872 —
9.8— Webinfos 插件 ≤1.2 上传无类型校验且无鉴权，未授权者可上传任意文件。 - CVE-2026-16060 —
9.8— Insert or Embed Articulate Content 插件 ≤4.3000000027 压缩包校验可绕过，Editor 权限即可利用。 - CVE-2026-16250 —
9.8— Personal QR Message 插件 ≤1.0 未限制上传类型，未授权处理器可上传可执行文件。 - CVE-2026-16300 —
9.8— ChamaWP 插件 <1.0.13 密码重置校验不当，未授权者可重置任意用户含管理员密码。 - CVE-2026-15930 —
9.4— Simple Membership 插件 <4.7.8 未校验注册失败，未授权者可用返回值作 ID 更新账户。 - CVE-2026-12965 —
9.1— Super Store Finder 插件 <7.11 未授权 AJAX 参数未净化即拼入 SQL，可注入。 - CVE-2026-14557 —
9.1— SoftMarket 插件 ≤1.0.0 邮箱验证分支令牌校验缺陷，未授权者可绕过验证。 - CVE-2026-16532 —
9.1— Link Library 插件 <7.9.3 用户输入未转义用于 SQL 查询，未授权 SQL 注入。 - CVE-2026-16534 —
9.1— Import and export users and customers 插件 <2.4.2 CSV 导入不校验角色权限，低权限可提权。 - CVE-2026-18577 —
0.0— N-able N-central 经替代路径绕过认证，可致认证绕过与账户接管。[KEV]