每日高危漏洞速报 2026-10-12（13 条）
每日高危漏洞速报 · 2026-10-12
共收录 13 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述：当日收录 13 条高价值漏洞，kev 标记均为 false，暂未观测到在野利用，但评分集中在 9.1–9.8，属"低门槛、高破坏"类型，实际暴露面取决于资产清点速度。WordPress 插件生态占 12 条，缺陷模式高度雷同——REST/AJAX 接口缺失授权、nonce 或能力校验，导致未认证攻击者可任意读写站点选项乃至登录任意账户，建议以"批量排查插件清单"而非逐条研判的方式处置。其中 click5 CRM 针对 Ninja Forms、WPForms、Gravity Forms、Contact Form 7 四个主流表单插件存在同源缺陷，应视为一个整体修复单元。优先修补顺位：Anton Extensions 任意路径写入、Agnaistic 硬编码管理员密码与公开 JWT 密钥，以及上述四款 click5 CRM 组件。
今日收录
- CVE-2026-104028 —
9.8— Anton Extensions 插件写文件前无权限、nonce 与文件类型校验，可写入任意路径。 - CVE-2026-84251 —
9.8— Ninja Forms 的 click5 CRM 附加组件 REST 接口缺授权与 CSRF 校验，可改任意选项。 - CVE-2026-84252 —
9.8— WPForms 的 click5 CRM 附加组件同类缺陷，REST 接口可未授权更新任意选项。 - CVE-2026-84253 —
9.8— Gravity Forms 的 click5 CRM 附加组件缺授权与 CSRF 校验，可越权更新选项。 - CVE-2026-84254 —
9.8— Contact Form 7 的 click5 CRM 附加组件同样可未授权经 REST 更新任意选项。 - CVE-2026-84734 —
9.8— Mindstien Quick Login 未与自身会话比对请求值，未认证者可登录他人账户。 - CVE-2026-84737 —
9.8— Freeton WP 激活码校验不当，未认证者可登录任意已知邮箱的用户账号。 - CVE-2026-85118 —
9.8— AI Content Generator Marketing 部分 AJAX 动作无 nonce 与权限校验，可改删任意数据。 - CVE-2026-108753 —
9.4— Agnaistic agnai 部署文件硬编码管理员密码与公开 JWT 密钥，未认证者可接管实例。 - CVE-2026-81649 —
9.1— Fundiin cho WooCommerce 多个 REST 路由无授权，仅依赖各安装相同的固定凭据。 - CVE-2026-85121 —
9.1— Insurify 插件某 AJAX 动作无授权与 nonce 校验，未认证者可创建覆盖任意选项。 - CVE-2026-86706 —
9.1— Quick quotes 插件 AJAX 动作无能力与 nonce 校验，且由调用者指定写入的选项。 - CVE-2026-86717 —
9.1— Insurify 插件另一 AJAX 动作缺授权与 nonce 校验，未认证者可删除任意选项致站点异常。