每日高危漏洞速报 2026-10-16（7 条）
每日高危漏洞速报 · 2026-10-16
共收录 7 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述
当日共收录 7 条高价值漏洞，评分集中在 9.3–10.0，均为远程可利用的高危缺陷，但全部未标记为在野利用（kev=false）。风险最突出的是 Wavlink 两款无线设备在 api.cgi 登录处理路径上的 10.0 分漏洞与堆溢出，此类 SOHO 路由/网关设备暴露面大、利用门槛低，应优先排查与修补。企业侧需重点关注 EnergizeLab station-middleware（NestJS）Docker 镜像的任意文件读取与管理接口越权问题，两者组合可导致凭据与密钥泄露；WordPress 站点则面临 10Web Booster 任意文件上传与 User Rights Access Manager 权限提升的组合风险。Linux 内核 ipv4 校验和处理缺陷虽为本地/协议栈层面，但影响面覆盖广泛的内核版本。
今日收录
- CVE-2026-110957 —
10.0— Wavlink WL-WN530BE2-A 的 api.cgi 登录处理函数 sub_12580 存在缺陷，可被远程操纵。 - CVE-2026-110958 —
10.0— Wavlink WN530HG4B 的 api.cgi 存在堆缓冲区溢出，远程攻击者或可借此执行代码。 - CVE-2026-105037 —
9.9— EnergizeLab 中间件 Docker 镜像 1.6.5–1.8.2 中，任意低权限账号可构造路径读取服务器任意文件。 - CVE-2026-108587 —
9.8— WordPress 插件 10Web Booster ≤2.34.10 的 compressC 相关接口存在任意文件上传，可上传恶意文件。 - CVE-2026-109145 —
9.8— WordPress 插件 User Rights Access Manager ≤1.1.3 的 AJAX 注册处理器未鉴权，注册即获高权限角色。 - CVE-2026-105039 —
9.6— EnergizeLab 中间件管理 API 未校验角色，低权限用户可读取 AI 提供方密钥并修改配置。 - CVE-2026-99999 —
9.3— Linux 内核 ipv4 完成校验和前未验证 checksum_start，畸形校验元数据包可致 skb 处理异常。