每日高危漏洞速报 2026-10-31（11 条）
每日高危漏洞速报 · 2026-10-31
共收录 11 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述：当日 11 条高危漏洞集中在 WordPress 生态，10 条 CVSS 评分不低于 9.1，覆盖认证绕过、任意文件上传、PHP 对象注入与远程代码执行等可直接接管站点的类型，WordPress 站点运营方应优先排查插件清单。唯一一条被在野利用的 CVE-2026-119977 位于 WordPress Core 本体，影响 4.7 至 7.1.3 的全部版本，风险覆盖所有未升级站点，应作为当日第一优先级。非 WordPress 侧，Thales Sentinel Keys Server 的栈溢出与 TAKO AI Agent for Okta 的初始化接口鉴权缺陷同样达到 9.8，需关注内网暴露面。整体看，攻击门槛低、批量利用工具易成型，建议 24 小时内完成核心与插件的版本核查。
今日收录
- CVE-2026-78403 —
9.8— Thales Sentinel Keys Server 未校验首字段长度，Windows 下栈溢出且缺授权，可远程触发。 - CVE-2026-63377 —
9.8— Okta 管理 AI Agent 3.0.1-beta 前/api/auth/setup接口鉴权缺失，未认证即可利用。 - CVE-2026-109220 —
9.8— WooCommerce PDF 发票插件不高于 7.1.1，customer_note 参数可致 PHP 对象注入。 - CVE-2026-116512 —
9.8— Project Manager 插件不高于 4.1 版本存在远程代码执行，WordPress 站点可直接被控。 - CVE-2026-119096 —
9.8— Uncanny Toolkit for LearnDash 不高于 3.8.2，email 参数可绕过登录认证。 - CVE-2026-118235 —
9.8— SimpleForm 插件不高于 3.10.2 存在任意文件上传，可上传恶意脚本执行。 - CVE-2026-116244 —
9.6— pgAdmin 4 清除 KRB5CCNAME 后回退默认凭据缓存，Kerberos 凭据可能被误用。 - CVE-2026-116557 —
9.1— WP Booking System 删除备注功能缺权限校验，未授权用户可篡改日历数据。 - CVE-2026-89270 —
9.1— Popup Builder 不高于 4.4.5 存在授权绕过，可越权操作插件配置与弹窗。 - CVE-2026-103882 —
9.1— Acadlix LMS 附件删除路径校验不足，可构造请求删除服务器任意文件。 - CVE-2026-119977 —
8.1— WordPress Core 4.7 至 7.1.3 升级暂存路径可预测，可导致远程代码执行。[KEV]