每日高危漏洞速报 2026-09-19（6 条）
每日高危漏洞速报 · 2026-09-19
共收录 6 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述
当日收录 6 条漏洞，评分均落在 9.1–9.9 区间，但没有任何条目标记为已被在野利用，因此应把它们视为“一旦被利用，影响面极大、但尚未被观测到实际利用”的高危漏洞集合。WordPress 生态是绝对主体，6 条中有 4 条涉及插件（Gravity Forms、Botiga Pro、WP Recipe Maker、Forminator），攻击面普遍是无须认证即可触达的 REST 路由、上传功能或短代码处理链，部署 WordPress 的站点应优先排查并升级。剩余两条分别位于云原生控制面 kcp（front-proxy 未剥离入站 X-Remote-User 头，可导致身份伪造）与推理服务 LightLLM（/pd_register WebSocket 端点认证绕过，可注册任意节点），两者都处于可信边界的关键位置，属于应尽快修补的基础设施组件。综合来看，建议按“WordPress 插件批量升级 → kcp / LightLLM 控制面组件”的顺序推进处置。
今日收录
- CVE-2026-61682 —
9.9— kcp front-proxy 未剥离入站 X-Remote-User 头，攻击者可伪造用户身份，影响 0.31.4 与 0.32.2 之前版本。 - CVE-2026-93839 —
9.8— LightLLM 至 1.2.0 的 /pd_register WebSocket 端点存在认证绕过，未认证者可注册任意节点。 - CVE-2026-84434 —
9.8— WordPress Gravity Forms 至 3.1.0.4 因字段校验不匹配，经 upload_file 可实现任意文件上传。 - CVE-2026-86591 —
9.8— Botiga Pro 1.6.5 前版本某 REST 路由缺少授权检查，未认证用户可更新任意 WordPress 选项。 - CVE-2026-89274 —
9.1— WP Recipe Maker 至 10.8.1 的 sanitize_metadata 校验不足，可触发任意短代码执行。 - CVE-2026-92229 —
9.1— Forminator 表单插件至 1.57.2 存在任意短代码执行，可借表单内容注入并执行短代码。