每日高危漏洞速报 2026-09-05（11 条）
每日高危漏洞速报 · 2026-09-05
共收录 11 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述：当日 11 条高危漏洞中，WordPress 生态插件占比接近一半（5 条），均可达未授权认证绕过、对象注入或远程代码执行，且多数无需与管理员交互，是批量攻击的首要攻击目标。SonicWall NSM 同日披露 3 条链式风险（命令注入、越权提升、Zip Slip），具备权限组合利用条件，对边界设备构成实质威胁。此外 PJSIP 栈溢出、Instana Agent Operator 租户隔离缺陷及 Hi3751 系列 ADB 远程代码执行涉及通信与基础设施组件，影响面广但利用门槛不一。当日无在野利用（KEV）标记条目，建议仍按“WordPress 插件 → SonicWall NSM → PJSIP/Instana”顺序先行处置。
今日收录
- CVE-2026-78745 —
9.8— 海思 Hi3751 芯片相关 Android 设备 adbd 可被远程利用执行任意代码，需可达 ADB 调试端口。 - CVE-2026-13447 —
9.8— Mstore Api WordPress 插件至 4.20.0 因 JWT 签名校验缺失，未授权攻击者可伪造令牌绕过认证。 - CVE-2026-83627 —
9.8— Hummingbird WordPress 插件至 3.21.0 的 log_msg() 存在远程代码执行，可被用于植入后门。 - CVE-2026-78362 —
9.8— SEO Flow 插件 3.0.3 前版本未正确校验 API 凭据，未授权用户可获管理员身份权限。 - CVE-2024-11080 —
9.8— ComboBlocks 插件 2.2.32–2.3.1 表单相关函数存在未授权钩子注入，可执行任意注册回调。 - CVE-2026-10196 —
9.8— Mail Mint 插件至 1.31.0 存在反序列化导致的 PHP 对象注入，可进一步触发代码执行。 - CVE-2026-19274 —
9.6— IBM Instana Agent Operator 1.0.303–1.0.323 允许已认证租户劫持或永久破坏他人集群。 - CVE-2026-57163 —
9.1— PJSIP 在 c4a151a 前版本 GnuTLS 后端解析 SAN 时存在栈缓冲区溢出，可致崩溃或潜在代码执行。 - CVE-2026-78327 —
9.1— SonicWall NSM 本地管理界面存在 OS 命令注入，已认证用户可借此执行系统命令。 - CVE-2026-78328 —
9.1— SonicWall NSM 本地管理界面缺少授权校验，低权限管理员可提升至 SuperAdmin。 - CVE-2026-81939 —
9.1— SonicWall NSM 文件上传与压缩包处理存在 Zip Slip，可将文件解压写至目标目录之外。