每日高危漏洞速报 2026-08-16（13 条）
每日高危漏洞速报 · 2026-08-16
共收录 13 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述：当日 13 条漏洞全部为 9.8 或 9.1 的高分项，且无一条标记为在野利用，说明这批问题更多是刚披露、等待验证的新风险。风险重心明显偏向 WordPress 生态，13 条中有 9 条为插件漏洞，涉及 Pods、Frontend Admin、ARForms、WPvivid 等下载量较大的插件；权限提升、任意文件上传、删除以及未授权认证是主要利用方式。其余 4 条集中在 SiYuan 笔记内核与 Perl 侧认证组件（SiYuan CheckAuth() 认证尝试限制缺陷、LemonLDAP::NG OAuth2 认证绕过、Net::OAuth::Client 协议降级），这类组件常作为统一登录入口，一旦被突破影响面远超单个站点。建议优先排查对外暴露的 WordPress 站点与 SSO 网关，其中 ProSolution WP Client 同时存在任意文件上传与任意文件删除，应最先处置。
今日收录
- CVE-2026-19598 —
9.8— WordPress Pods 插件 3.3.9 及以下授权绕过，可提升权限。 - CVE-2026-73046 —
9.8— SiYuan <3.7.4 的 CheckAuth() 未限制尝试次数，Basic 认证分支可绕过。 - CVE-2026-16098 —
9.8— ProSolution WP Client ≤2.0.10 上传功能缺少校验，可传任意文件。 - CVE-2026-18432 —
9.8— Frontend Admin ≤3.29.9 的用户条件逻辑可被绕过，实现权限提升。 - CVE-2024-13784 —
9.8— ARForms ≤1.8.5 反序列化不可信输入，导致 PHP 对象注入。 - CVE-2026-19349 —
9.8— LemonLDAP::NG 门户将 OAuth2 state 存入 SSO 会话，导致认证绕过。 - CVE-2026-72887 —
9.8— Perl Net::OAuth::Client <0.32 可被服务方静默降级至 OAuth 1.0。 - CVE-2026-73056 —
9.8— SiYuan 内核 <3.7.4 CheckAuth() 对认证尝试次数限制不当。 - CVE-2026-18855 —
9.1— Link Library ≤7.9 文件路径校验不足，可删除任意文件。 - CVE-2026-14524 —
9.1— ProSolution WP Client 删除流程路径校验不足，可删除任意文件。 - CVE-2026-18316 —
9.1— Solace Extra ≤1.6.0 的 import_zip() 缺少权限校验，可篡改或丢失数据。 - CVE-2026-19714 —
9.1— Simple JWT Login <3.6.8 不校验 Google 令牌 audience，可冒充任意邮箱用户。 - CVE-2026-19725 —
9.1— WPvivid <0.9.131 未净化未认证输入便拼接日志路径，可写入任意位置。