每日高危漏洞速报 2026-09-10（13 条）
每日高危漏洞速报 · 2026-09-10
共收录 13 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述
当日 13 条高价值漏洞中，仅 1 条已确认在野利用：MikroTik RouterOS 的命令参数分隔符缺陷（CVE-2026-86060）。该漏洞可篡改受信策略掩码并提权；虽然尚未评分，但应立即优先修补。其余 12 条 CVSS 普遍在 9.0 以上，集中在 Apache 生态（Camel K、Artemis、FreeMarker）以及 WordPress 插件、Traefik 等广泛部署组件。尤其 Apache Artemis 两条未认证或认证前的会话劫持与队列删除缺陷，对消息中间件链路威胁显著。整体上，当日风险以“未认证远程利用、开源基础组件与边缘设备”为主，建议按暴露面顺序安排修复。
今日收录
- CVE-2026-77770 —
10.0— WordPress miniOrange 2FA 插件未认证即可删除站点配置项，影响 6.3.1 与 19.3 之前版本。 - CVE-2026-19583 —
9.9— Velociraptor 敏感取证构件权限门控可被绕过，导致端点任意命令执行。 - CVE-2026-18351 —
9.8— Elementor Forms 拖拽上传插件 1.6.0 及以下可任意文件上传，进而接管站点。 - CVE-2026-57967 —
9.8— 未认证远程攻击者构造 SESSION_REATTACH 包可劫持既有会话并延续其执行。 - CVE-2026-80351 —
9.8— Apache Camel K 对动态求值 Maven 配置净化不足，可致 eval 注入执行代码。 - CVE-2026-80352 —
9.8— Apache Camel K 自定义资源 YAML 注入，已授权 CR 作者可注入任意代码。 - CVE-2026-88877 —
9.8— Traefik 3.7.0–3.7.11 的 ingress-nginx 提供者对带认证注解的 Ingress 处理不当。 - CVE-2026-87931 —
9.6— Pavlok 可穿戴设备 Apple 通知中心服务组件存在未明功能缺陷，影响至 20260707 版本。 - CVE-2026-49364 —
9.1— Apache Artemis 初始集群握手可被邻近网络未认证攻击者窃取集群管理凭据。 - CVE-2026-67593 —
9.1— Artemis 的 Openwire RemoveSubscriptionInfo 可在认证授权前删除 broker 队列。 - CVE-2026-84939 —
9.1— Apache FreeMarker 模板加载在本地化查找配置下存在路径穿越，需攻击者可控 locale 标识符。 - CVE-2026-78361 —
9.1— WooCommerce zipMoney 支付插件 2.4.0 前前端处理器缺授权校验且未限制可操作选项。 - CVE-2026-86060 —
0.0— MikroTik RouterOS 命令参数分隔符处理不当，可篡改受信策略掩码并提权。 [KEV]