每日高危漏洞速报 2026-11-07（11 条）
每日高危漏洞速报 · 2026-11-07
共收录 11 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述
当日收录的 11 条高价值漏洞全部为 9.0 分以上，且均未标记为在野利用（KEV），但这些漏洞确认的入口条件普遍较低，因此不应因为缺少 KEV 标记而降低修补优先级。风险集中在两条主线：WordPress 生态插件（WooCommerce 相关插件五条）存在任意文件上传、认证绕过与权限提升，攻击大多无需认证即可直接获取服务器控制权或接管账户；企业侧 Apache Axis 1.x 反序列化与 Tracecat SAML 配置缺陷则可影响对外服务与身份信任链。建议优先处置 WordPress 站点上的文件上传、认证绕过类漏洞，其次关注已停止支持的 Axis 1.x 暴露面。
今日收录
- CVE-2026-90436 —
9.8— Apache Axis 1.x 处理 SOAP Fault 时反序列化，未认证即可远程实例化类；该版本已停止支持。 - CVE-2026-58490 —
9.8— Tracecat 0.37.0 至 1.0.0-beta.49 的 Docker Compose 部署中，启用 SAML 会削弱签名断言校验。 - CVE-2026-85295 —
9.8— Chartbrew 5.2.3 前，四个认证辅助函数接受弱签名会话令牌，可借此绕过登录。 - CVE-2026-93754 —
9.8— payever WooCommerce 网关插件 4.8.0 及以下，通过 API 回调实现任意文件上传并导致 RCE。 - CVE-2026-19803 —
9.8— Printcart Store 产品设计器插件 2.13.2 及以下，存在任意文件上传，未认证攻击者可上传并执行代码。 - CVE-2026-104014 —
9.8— Naimur Email OTP 插件 2.1.0 及以下，密码重置流程终态校验缺失，导致认证绕过。 - CVE-2026-119075 —
9.8— Registration Form for WooCommerce 因校验结算字段时缺少白名单检查，可提权为管理员。 - CVE-2026-121379 —
9.6— Tournamatch 4.7.1 前未校验旧头像路径，具普通账户权限的用户可删除任意文件。 - CVE-2026-118066 —
9.1— LatePoint 预约插件全版本存在认证绕过，攻击者可接管账户并取得站点控制权。 - CVE-2026-122041 —
9.1— Checkout Field Editor Pro 的删除上传接口缺少权限与归属校验，可越权删除任意附件。 - CVE-2026-121491 —
9.0— Fiber Admin 4.0.1 前将请求头未转义写入 PHP 文件，未认证攻击者可注入代码并执行。