每日高危漏洞速报 2026-11-08（2 条）
每日高危漏洞速报 · 2026-11-08
共收录 2 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述：当日收录 2 条严重漏洞，均为 WordPress 插件漏洞，CVSS 评分高达 9.8，暂未发现在野利用。其中 Contact Form 7 属于安装量极大的知名插件，其任意文件上传缺陷可能被批量利用，风险最高；Userplace 插件的未授权 AJAX 接口缺乏权限校验，且防护 nonce 对外公开，导致未授权访问防线失效。两处漏洞均无需认证即可触发，建议 WordPress 站点优先排查并尽快升级。
今日收录
- CVE-2026-110963 —
9.8— Userplace 插件 1.2.0 及以前版本对未认证 AJAX 动作缺少授权校验，且其防护 nonce 被公开暴露，可导致未授权操作。 - CVE-2026-114432 —
9.8— Contact Form 7 插件 6.2.4 之前版本不校验上传文件的类型与扩展名，配合临时文件清理缺陷可导致上传文件残留，进而可能被利用。