每日高危漏洞速报 2026-09-24（9 条）
每日高危漏洞速报 · 2026-09-24
共收录 9 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述
当日共收录 9 条高价值漏洞，其中 2 条已确认在野利用（WSO2 API 管理组件、Adobe Commerce/Magento），虽暂无 CVSS 评分，但实际威胁优先级最高，应优先排查并应急修补。GitLab CE/EE 同日出现两条 9.9 分认证绕过类漏洞，Red Hat Ansible 自动化控制器、WordPress 插件及 Laravel-Mediable 也均有 9.8 以上高危项，影响面覆盖代码托管、自动化运维与 Web 建站等关键场景。整体看，攻击路径以认证绕过、权限提升与任意文件上传为主，建议对暴露于互联网的 GitLab、Ansible、WSO2 与 Magento 实例优先处置。
今日收录
- CVE-2026-84502 —
9.9— Ansible 自动化控制器 Project 的 scm_url 未校验以短横线开头的值，可原样传给下游导致注入。 - CVE-2026-89078 —
9.9— GitLab CE/EE 19.2–19.4 部分版本存在认证用户可触发的严重缺陷，建议立即升级。 - CVE-2026-93577 —
9.9— GitLab CE/EE 同批修复的另一认证类高危问题，影响范围与上条版本一致。 - CVE-2026-93352 —
9.8— Laravel-Mediable 7.0.2 前补丁不完整，禁令名单缺少 .pht 后缀，可绕过上传限制。 - CVE-2026-18467 —
9.8— WordPress Paytium 插件 5.0.3 及以下权限提升，补丁的哈希校验可被绕过。 - CVE-2026-12227 —
9.8— WordPress Visual Composer 45.16.0 及以下经 vcv-template 参数本地文件包含，可读取敏感文件。 - CVE-2026-86930 —
9.1— FileMaker Server for Linux 缩略图生成越界读，上传恶意图片即可泄露进程内存。 - CVE-2026-5430 —
0.0— WSO2 API Manager 等组件路径遍历，可无限制上传文件并进一步远程代码执行。[KEV] - CVE-2026-71362 —
0.0— Adobe Commerce/Magento 授权不当，攻击者无需用户交互即可越权访问敏感资源。[KEV]