每日高危漏洞速报 2026-08-13（10 条）
每日高危漏洞速报 · 2026-08-13
共收录 10 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述：当日收录 10 条高价值漏洞，评分普遍在 9.0 以上，主要风险集中在命令与参数注入，涉及 Semaphore UI、Apache Allura、GitLab、Microsoft UFO 等多个知名产品，建议优先排期修复。在野利用方面，唯一被标记为 KEV 的漏洞 CVE-2026-66384 评分仅 5.3，但它是已确认被在野利用的 Docker 缓存路径越界写入问题，实际处置优先级不应因评分低而降低。此外，CVE-2026-15413 表明，一个伪装成正常功能的 WordPress 插件本身即为植入后门；CVE-2026-73519 则是硬编码集群密钥，可使远程攻击者未认证即绕过认证；这两类供应链与设计缺陷值得重点关注。
今日收录
- CVE-2026-15413 —
10.0— WordPress 插件 Link Factory 实为后门，会暴露由操作者控制的 REST 接口。 - CVE-2026-73294 —
9.9— Semaphore UI 对 git_url 处理不当，可注入 --upload-pack 执行命令。 - CVE-2026-73240 —
9.8— Apache Allura 1.19.1 前受构造输入影响，存在 git 参数注入。 - CVE-2026-73519 —
9.8— WolfStack 25.9.2 前硬编码集群认证密钥，可远程未授权绕过。 - CVE-2026-16770 —
9.8— Perl 库 PDF::WebKit 经 meta 标签向 wkhtmltopdf 注入参数。 - CVE-2026-14182 —
9.8— WooCommerce 邮件验证插件因松散比较可绕过激活码校验。 - CVE-2026-49481 —
9.6— UpSnap 5.4.0 前设备管理功能存在不安全 shell 模板，可命令注入。 - CVE-2026-73296 —
9.4— 微软 UFO 框架 3.0.8 前 MCP HTTP 服务创建函数存在问题。 - CVE-2026-16627 —
9.0— GitLab CE/EE 19.2 至 19.2.2 前开发者权限用户可越权操作。 - CVE-2026-66384 —
5.3— Docker 远程仓库条件下认证用户可越界写入缓存路径外数据。[KEV]