每日高危漏洞速报 2026-10-11（15 条）
每日高危漏洞速报 · 2026-10-11
共收录 15 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述
2026-10-11 共收录 15 条高价值漏洞，评分均在 9.1–9.8 之间，当日无 KEV 在野利用标记。风险高度集中于 WordPress 生态，14 条涉及插件或主题，且多为未授权即可触发的认证绕过、PHP 对象注入、任意文件写入与选项篡改。Agnaistic 自托管配置存在硬编码管理员口令和公开 JWT 密钥，可直接导致未授权接管。建议优先处置可未授权登录、写入文件或篡改关键配置的条目，并排查相关 WordPress 组件的暴露面。
今日收录
- CVE-2026-105892 —
9.8— rtMedia 插件存在路径遍历，攻击者可访问受限目录之外的文件。 - CVE-2026-81797 —
9.8— Buzz Stone 主题 1.0.2 及以下存在未授权 PHP 对象注入。 - CVE-2026-104028 —
9.8— Anton Extensions 插件缺少权限、nonce 与文件类型校验，可写入任意路径。 - CVE-2026-84251 —
9.8— click5 CRM for Ninja Forms 的 REST 接口缺少授权与 CSRF 校验，可更新任意选项。 - CVE-2026-84252 —
9.8— click5 CRM for WPForms 的 REST 接口缺少授权与 CSRF 校验，可更新任意选项。 - CVE-2026-84253 —
9.8— click5 CRM for Gravity Forms 的 REST 接口缺少授权与 CSRF 校验，可更新任意选项。 - CVE-2026-84254 —
9.8— click5 CRM for Contact Form 7 的 REST 接口缺少授权与 CSRF 校验，可更新任意选项。 - CVE-2026-84734 —
9.8— Mindstien Quick Login 未校验请求值与会话匹配，未授权攻击者可登录。 - CVE-2026-84737 —
9.8— Freeton WP 未正确校验激活码，未授权攻击者可冒充任意邮箱用户登录。 - CVE-2026-85118 —
9.8— AI Content Generator Marketing 的 AJAX 动作缺少 nonce 与权限校验，可更新或删除任意选项。 - CVE-2026-108753 —
9.4— Agnaistic 自托管配置硬编码管理员口令并公开 JWT 密钥，可未授权接管。 - CVE-2026-81649 —
9.1— Fundiin for WooCommerce 多个 REST 路由授权不足，依赖各安装相同的凭据。 - CVE-2026-85121 —
9.1— Insurify 插件 AJAX 动作缺少授权与 nonce 校验，未授权用户可创建或覆盖任意选项。 - CVE-2026-86706 —
9.1— Quick quotes 插件 AJAX 动作缺少权限与 nonce 校验，未授权用户可写入指定选项。 - CVE-2026-86717 —
9.1— Insurify 插件 AJAX 动作缺少授权与 nonce 校验，未授权用户可删除任意选项。