每日高危漏洞速报 2026-10-17（11 条）
每日高危漏洞速报 · 2026-10-17
共收录 11 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述
当日收录 11 条高危漏洞，虽无条目进入在野利用（KEV）名单，但整体风险面集中在可直接导致接管或代码执行的两类场景。WordPress 插件构成绝对主体（7 条），涵盖任意文件上传、权限提升、账户接管与 PHP 对象注入，且多数为全版本受影响、利用门槛低，暴露在公网的中小站点应优先排查。非 WordPress 侧需重点关注 FastapiAdmin 未认证会话窃取、Dockhand 容器终端 WebSocket 未鉴权，以及 DeepSeek Harness 以满分 10.0 评出的不可信搜索路径代码执行。Chrome 与 Apache Airflow SSH provider 的问题影响面更广，建议纳入常规补丁周期同步修复。
今日收录
- CVE-2026-95182 —
10.0— DeepSeek Harness 存在不可信搜索路径，打开恶意可执行文件即可执行任意代码。 - CVE-2026-104798 —
9.8— WordPress My Calendar 插件 mcs 参数反射，3.8.7 及以下可权限提升。 - CVE-2026-109219 —
9.8— Mang Board 插件 mbw_file_upload 缺扩展名校验，2.4.4 及以下可任意文件上传。 - CVE-2026-109515 —
9.8— MailOptin 插件 1.2.78.6 及以下存在权限提升，可被利用获取高权限账户。 - CVE-2026-103768 —
9.8— ELEX HelpDesk 插件 initMailPart 校验缺失，3.3.7 及以下任意文件上传。 - CVE-2026-89079 —
9.8— Theme My Login 7.2.1 及以下身份校验不当，可账户接管并提权。 - CVE-2026-104730 —
9.8— Sunshine Photo Cart 3.7.4 及以下反序列化缺陷，可致 PHP 对象注入。 - CVE-2026-111641 —
9.8— FastapiAdmin 3.0 自动登录接口未保护，未认证即可窃取任意用户会话。 - CVE-2026-110916 —
9.6— Chrome 155.0.8059.84 之前输入校验不当，恶意页面可沙箱外执行代码。 - CVE-2026-57169 —
9.6— Dockhand 1.0.34 前容器终端 WebSocket 升级未鉴权，可操纵容器执行。 - CVE-2026-94134 —
9.1— Apache Airflow SSH provider 默认关闭主机密钥校验，易遭中间人攻击。