每日高危漏洞速报 2026-08-06（25 条）
每日高危漏洞速报 · 2026-08-06
共收录 25 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述
当日 25 条高价值漏洞均未被标记为在野利用（KEV），但满分及 9.8 分级别的关键漏洞密集出现，风险仍不容低估。风险集中于三类产品：思科 Catalyst SD‑WAN 与 IOS XE 经内部安全审查批量披露的 5 条高危漏洞、Apache CXF 的 5 条认证与反序列化缺陷（含 JMS 反序列化 RCE 与 OIDC 自签发令牌绕过），以及 4 个 WordPress 插件的未认证 SQL 注入与远程代码执行。建议优先修补无需认证的代码执行与注入类漏洞，如 Spider Analyser、OpenChamber、Dell VSI 命令注入，以及 GitHub Enterprise Server 未认证任意文件删除；随后处理 Jenkins、MarkLogic 等基础设施组件及 Cisco 网络设备固件升级。CXF 与 Answer 等认证类缺陷应作为纵深防御重点同步推进。
今日收录
- CVE-2026-48168 —
10.0— PraisonAI <4.6.40 内置 Claude 工作流嵌入攻击者可控 PR 内容致命令注入。 - CVE-2026-65553 —
10.0— WordPress 蜘蛛分析插件 <=2.1.3 存在未认证远程代码执行。 - CVE-2026-20303 —
9.9— Cisco Catalyst SD-WAN 内部审查披露的高危漏洞，摘要未给出具体触发细节。 - CVE-2026-20304 —
9.9— 同一产品 SD-WAN 内部审查发现的高危漏洞，需升级修复。 - CVE-2026-20272 —
9.8— Cisco IOS XE 经内部安全审查发现的高危漏洞。 - CVE-2025-63823 —
9.8— My Safetipin Android 5.2.1 认证模块硬编码凭据，可绕过认证接管账户。 - CVE-2026-64597 —
9.8— Linux 内核 SMB 客户端 SMB2_close() 重放路径双重释放可致内存破坏。 - CVE-2026-66909 —
9.8— Apache CXF JMS 传输对入站 ObjectMessage 无类型限制反序列化，可 RCE。 - CVE-2026-68079 —
9.8— Apache CXF 授权码去重逻辑缺陷，被捕获的授权码可无限次兑换。 - CVE-2026-53975 —
9.8— OpenChamber 1.11.7 的 /api/fs/exec 未认证即执行任意 shell 命令。 - CVE-2026-54489 —
9.8— Dell VSI for vSphere Client <10.11.1.0 未认证远程泄露敏感信息。 - CVE-2026-67261 —
9.8— 同产品 IAPI 组件存在 OS 命令注入，远程未认证攻击者可利用。 - CVE-2026-66447 —
9.3— WordPress File Upload <=5.1.7 存在未认证 SQL 注入。 - CVE-2026-60053 —
9.1— Apache Answer <=2.0.1 管理员被降权后其 API key 仍可继续调用。 - CVE-2026-9190 —
9.1— Progress MarkLogic <11.3.6/12.0.3 HTTP 请求走私可绕过认证并劫持会话。 - CVE-2026-20310 —
9.1— Cisco Catalyst SD-WAN 内部审查发现的高危漏洞。 - CVE-2026-17556 —
9.1— GitHub Enterprise Server 路径穿越，未认证者可删除实例任意文件与目录。 - CVE-2026-12713 —
9.1— WPCargo Track & Trace <8.0.4 参数未转义致未认证 SQL 注入。 - CVE-2026-16054 —
9.1— WooCommerce 多文件上传插件 <1.1.8 未认证可获取唯一防护 nonce 并删除文件。 - CVE-2026-61466 —
9.1— Apache CXF OAuth2 动态客户端注册未校验 scope，原样存储客户端提交值。 - CVE-2026-63687 —
9.1— Apache CXF JwtRequestCodeFilter 未排除敏感声明，签名 JWT 声明直入授权参数。 - CVE-2026-65583 —
9.1— Apache CXF OIDC 令牌校验缺失 iss/sub/aud/sub_jwk 绑定，接受自签发 ID token。 - CVE-2026-34191 —
9.1— Apache Portable Runtime Utility 的 apr_dbd_oracle 提供者存在 SQL 注入。 - CVE-2026-20267 —
9.0— Cisco IOS XE 内部安全审查披露的高危漏洞。 - CVE-2026-70426 —
9.0— Jenkins 2.575/LTS 2.568.1 及更早的 Remoting 未对解析类应用 JEP-200 过滤器。