每日高危漏洞速报 2026-08-29（8 条）
每日高危漏洞速报 · 2026-08-29
共收录 8 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述：当日收录 8 条漏洞，CVSS 评分全部不低于 9.1，且没有条目命中 KEV，即未见公开的在野利用记录。风险集中体现在两个方面：一是 Kubeflow Pipelines、Omnivore API 等云原生与身份认证组件，它们可被未授权远程利用；二是多款 WordPress 插件存在注册与资料更新越权、代码执行、硬编码密钥等缺陷，部署面广，利用门槛低。此外，Linux 内核 GRO 的 BIG TCP 聚合校验缺陷影响所有主流发行版，应当纳入常规内核补丁计划。建议优先处置 Kubeflow Pipelines 的未认证 SSRF（CVE-2026-54745）与 Sigma Forms Pro 的远程代码执行（CVE-2026-14494）。
今日收录
- CVE-2026-54745 —
10.0— Kubeflow Pipelines 2.17.0 之前版本的前端存在未认证 SSRF，可被用于探测并访问内网服务。 - CVE-2026-10522 —
9.8— MemberHero 插件 6.9 及之前版本未限制注册字段，未认证攻击者可注册高权限账户。 - CVE-2026-16259 —
9.8— Uix UserCenter 1.0.3 及之前版本的资料更新操作缺少归属校验，未认证攻击者可篡改任意账户。 - CVE-2026-80725 —
9.8— Linux 内核 GRO 对超过 64KB 的 BIG TCP 聚合包校验不严，可引发内存破坏。 - CVE-2026-14494 —
9.8— Sigma Forms Pro 至 1.4.5 的 handle_form_submission 动态调用可触达远程代码执行。 - CVE-2026-77012 —
9.3— 爱采集插件 1.0.0 及之前版本的未认证接口依赖硬编码密钥，且未校验目标 URL。 - CVE-2026-16947 —
9.1— Total processing 插件至 7.3 未校验用户路径即构造并发出服务端请求。 - CVE-2026-82454 —
9.1— Omnivore API（abf53d6 之前）在 Apple 登录校验中直接信任令牌 alg 字段，可绕过认证。