每日高危漏洞速报 2026-11-03（5 条）
每日高危漏洞速报 · 2026-11-03
共收录 5 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述：当日 5 条高危漏洞中 4 条集中于 WordPress 插件生态，均为未认证或低权限即可触发的任意文件删除与远程代码执行，单条最高 9.8 分，一旦站点启用相关插件即等于暴露可利用入口。剩余 1 条为 kaniko 构建工具缺陷，会在拉取 Azure 容器镜像仓库凭证时把 Microsoft Entra ID 访问令牌外送至攻击者控制的 registry，直指 CI/CD 供应链，影响面可能波及大批镜像构建流水线。全部条目当前均未标记在野利用，但 WordPress 插件类漏洞历来在披露后极短时间内被批量扫描利用，建议按“对外可访问插件 → 构建链”的顺序优先修补。综合判断，今日风险重心是 WordPress 站点的自动化批量攻击面与云原生构建凭证泄露。
今日收录
- CVE-2026-102435 —
9.8— Contact Form 7 的 Ultra Addons 插件路径校验不足，可任意删除服务器文件。 - CVE-2026-86596 —
9.8— s2Member 插件 item_name 参数过滤不严，≤260927 版本可远程代码执行。 - CVE-2026-120534 —
9.8— ACF Extended PRO ≤0.9.2.6 经 render_field 函数可实施有限代码注入。 - CVE-2026-105769 —
9.3— kaniko <1.25.20 会把 Azure 管理令牌发往攻击者控制的镜像仓库。 - CVE-2026-120518 —
9.1— BuddyPress XProfile 图片字段插件 ≤3.1.0 用户激活时可任意删除文件。