每日高危漏洞速报 2026-10-10（10 条）
每日高危漏洞速报 · 2026-10-10
共收录 10 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述
2026-10-10 共收录 10 条高价值漏洞，评分均不低于 9.1；当日没有条目被标记为在野利用（KEV）。风险集中在 WordPress 生态：10 条中有 7 条涉及 WordPress 插件，覆盖认证绕过、远程代码执行、任意文件上传和权限提升等关键类型，其中 Advanced IP Blocker、3D Product configurator for WooCommerce、WPCOM Member 三条评分均为 9.8，建议优先排查。另外 3 条来自 Apache DataSketches C++，都是反序列化路径上的堆缓冲区溢出和越界读写；只要服务端需要处理外部传入的序列化 sketch 数据，就应优先升级。总体而言，当日风险主要表现为：大量插件都存在可被远程利用的严重缺陷，并且数据组件在解析不可信输入时存在内存安全问题。
今日收录
- CVE-2026-104732 —
9.8— WordPress Advanced IP Blocker 插件 8.13.13 及以下版本的登录处理缺少校验，可绕过认证。 - CVE-2026-94589 —
9.8— WordPress CF7 扩展插件 3.4.5 及以下版本可通过扩展接口任意上传文件。 - CVE-2026-103889 —
9.8— WooCommerce 3D 产品配置器 2.16.2 及以下版本因 xpv_image 参数未过滤，可导致远程代码执行。 - CVE-2026-104803 —
9.8— WordPress WPCOM Member 1.7.27 及以下版本的社交登录回调可被伪造 uuid/code 绕过认证。 - CVE-2026-103501 —
9.8— Apache DataSketches C++ 反序列化 LIST 模式 sketch 时存在堆缓冲区溢出。 - CVE-2026-103513 —
9.8— Apache DataSketches C++ 的 CPC sketch 反序列化存在越界读写，可被构造数据触发。 - CVE-2026-107645 —
9.1— WordPress Blocksy Companion 2.1.58 及以下版本的注册 AJAX 处理器存在缺陷，可提升权限。 - CVE-2026-97670 —
9.1— WordPress Avada Builder 7.16.1 及以下版本在操作前未校验授权，因此可绕过权限检查。 - CVE-2026-104801 —
9.1— WooCommerce PPOM 插件 rename_files 函数路径校验不足，可导致任意文件删除。 - CVE-2026-103635 —
9.1— Apache DataSketches C++ 的 compact Theta sketch 反序列化存在越界读。