每日高危漏洞速报 2026-10-30（15 条）
每日高危漏洞速报 · 2026-10-30
共收录 15 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述
当日收录 15 条高价值漏洞，评分普遍位于 9.0 以上，涉及 Progress WS_FTP Server、Apache Fineract、Google Chrome、WordPress 多个插件等产品，覆盖面广、利用门槛低，是主要风险点。Progress WS_FTP Server 一次性披露 6 条漏洞，涵盖未授权访问、OS 命令注入与路径穿越，应作为当日最优先的修复对象。Chrome 两条 9.6 分漏洞需配合最新版本更新以消除沙箱内、外的任意代码执行风险。唯一标记为在野利用的 Ivanti Connect Secure 条目评分为 0.0，疑似为 NVD 评分尚未更新；尽管评分暂缺，仍应立即排查。
今日收录
- CVE-2026-84295 —
10.0— WS_FTP Server 身份验证不当，未授权远程攻击者可读取敏感信息。 - CVE-2026-90868 —
9.9— WS_FTP Server 存在 OS 命令注入，在特定配置下可执行任意命令。 - CVE-2026-61992 —
9.8— WordPress GEO my WP 插件在 4.5.5.3 及以前版本中存在未授权 PHP 对象注入。 - CVE-2026-74912 —
9.8— GPU 系统修复后缓冲区映射范围受限，越界映射触发整数截断问题。 - CVE-2026-103039 —
9.8— Gravity Forms 3.1.2 及以下版本经列表型自定义字段触发 PHP 对象注入。 - CVE-2026-64618 —
9.8— Apache Fineract 1.15.0 及以前版本存在 SQL 注入，可注入待处理金额参数。 - CVE-2026-119261 —
9.6— Chrome 156.0.8078.79 之前版本存在 Skia 缓冲区溢出，可能突破沙箱执行代码。 - CVE-2026-119263 —
9.6— Chrome 垃圾回收存在释放后使用，恶意 HTML 页面可在沙箱内执行代码。 - CVE-2026-118762 —
9.3— Monkeytype 26.43.0 之前版本工作流存在风险，pull_request_target 配合写权限可被利用。 - CVE-2026-90863 —
9.1— WS_FTP Server 管理接口缺少授权校验，委派主机管理员可以越权操作。 - CVE-2026-90864 —
9.1— WS_FTP Server 存在路径穿越，委派管理员可访问或篡改授权外文件。 - CVE-2026-90866 —
9.1— WS_FTP Server 存在路径穿越，委派管理员可访问授权范围外位置。 - CVE-2026-90865 —
9.0— WS_FTP Server 存在 OS 命令注入，特定条件下以高权限执行任意命令。 - CVE-2026-61707 —
9.0— SOCFortress CoPilot 0.1.76 之前版本在上传案例报告模板处存在安全缺陷。 - CVE-2026-118527 —
0.0— Ivanti Connect Secure 可预测值缺陷，认证远程攻击者可上传受控文件到已知路径。[KEV]