每日高危漏洞速报 2026-08-07（22 条）
每日高危漏洞速报 · 2026-08-07
共收录 22 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述：当日共收录 22 条高价值漏洞，其中 2 条已确认发生在野利用，值得优先处置：一是影响多个 macOS 版本、CVSS 9.8 的认证机制缺陷，二是 Progress LoadMaster 的命令注入漏洞，后者虽无 CVSS 评分，但已被在野利用。Google Chrome 单日集中披露 7 条沙箱逃逸类内存破坏漏洞，会造成大范围浏览器风险；Apache Fory C++ 反序列化、Microsoft SharePoint XSS 属于知名基础组件或企业级产品问题。WordPress 插件生态风险尤为集中，涵盖后门植入、账户接管、PHP 对象注入与支付校验缺失，建议对暴露在公网的站点优先排查。
今日收录
- CVE-2026-14812 —
10.0— Premium SEO 插件内置未授权后门，可创建隐藏管理员并导致远程代码执行。 - CVE-2026-48085 —
9.8— OpenReception 1.0.1 前版本允许未认证访问，完全部署实例可被直接利用。 - CVE-2026-65400 —
9.8— macOS 多版本认证状态管理缺陷，可绕过认证，已修复于最新版本。[KEV] - CVE-2026-70558 —
9.8— Dinky 上传接口未校验 path 参数，@SaIgnore 路由可致未授权路径穿越写文件。 - CVE-2026-14364 —
9.8— TrueBooker ≤1.2.3 密码重置校验不当，未认证攻击者可接管任意账户。 - CVE-2026-14365 —
9.8— TrueBooker ≤1.2.3 权限校验缺失，导致授权绕过，可越权操作。 - CVE-2026-14205 —
9.8— WP Events Manager <2.2.5 不校验报名数量，攻击者篡改数量以压低付费金额。 - CVE-2026-16258 —
9.8— Ajax Search Lite <4.14.5 未认证 PHP 对象注入，配合 POP 链可执行代码。 - CVE-2026-71558 —
9.8— Apache Fory C++ 0.14.0–1.5.0 反序列化堆类型混淆，可绕过类型校验。 - CVE-2026-19149 —
9.6— Chrome Linux <151.0.7922.109 Aura 释放后重用，精心构造的页面可逃逸沙箱。 - CVE-2026-19157 —
9.6— Chrome Android <151.0.7922.109 ANGLE 越界写，可借恶意页面逃逸沙箱。 - CVE-2026-19164 —
9.6— Chrome <151.0.7922.109 Codecs 未充分校验不可信输入，导致沙箱逃逸。 - CVE-2026-19166 —
9.6— Chrome <151.0.7922.109 Web Authentication 释放后重用，可逃逸沙箱。 - CVE-2026-19170 —
9.6— Chrome Android <151.0.7922.109 WebGL 释放后重用，可逃逸沙箱。 - CVE-2026-19171 —
9.6— Chrome Windows <151.0.7922.109 Media 释放后重用，可逃逸沙箱。 - CVE-2026-19175 —
9.6— Chrome <151.0.7922.109 Payments 释放后重用，可逃逸沙箱。 - CVE-2026-70332 —
9.6— Microsoft SharePoint 存在 XSS，未授权攻击者可远程实施欺骗攻击。 - CVE-2026-48088 —
9.4— OpenReception <1.0.4 人员加密密钥接口鉴权不当，可越权访问敏感数据。 - CVE-2026-18367 —
9.3— Sophos macOS 端点与家庭版本地权限提升，普通用户可提权至 root 执行代码。 - CVE-2026-16038 —
9.1— MStore API <4.21.0 支付完成端点未向网关核验，未认证即可将订单标记为已付。 - CVE-2026-71560 —
9.1— Apache Fory C++ 反序列化带标签整型结构体时越界读，可泄露内存信息。 - CVE-2026-8037 —
0.0— Progress LoadMaster 多处未过滤输入致命令注入，未认证攻击者可执行任意命令。[KEV]