每日高危漏洞速报 2026-09-26（3 条）
每日高危漏洞速报 · 2026-09-26
共收录 3 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述
当日收录 3 条高价值漏洞，CVSS 评分均在 9.8 以上，且都无需认证即可利用，因此风险集中度较高。这批漏洞影响的是 froxlor 服务器管理面板、Flarum OAuth 扩展和 WooCommerce 报价插件，都属于可公开访问的 Web 应用组件，攻击面广、利用门槛低。其中 WooCommerce 插件存在任意文件上传漏洞，一旦被利用可直接上传恶意文件，进而导致代码执行，建议优先修补。当日没有发现已被在野利用的条目，但仍需关注 PoC 公开后的快速武器化风险。
今日收录
- CVE-2026-100717 —
9.9— froxlor 2.3.10 及更早版本的 Validate::validateUrl 仅在路径、查询和片段中拦截 CRLF，可被绕过注入。 - CVE-2026-92161 —
9.8— Flarum OAuth 扩展 1.7.4 与 2.0.0-beta.4 之前版本中，Discord 提供方未校验 verified 字段，可导致账户冒用。 - CVE-2026-18143 —
9.8— WooCommerce 报价插件 2.9.2 及更早版本通过弹窗提交函数存在任意文件上传缺陷。