9.8Critical
CVE-2026-124814 Ultimate Addons for Elementor Forms 外掛未驗證任意檔案上傳漏洞
對象網管資安IT開發
- 成因
- 外掛內建的檔案上傳欄位未正確驗證上傳檔案的副檔名。
- 影響
- 攻擊者可上傳 PHP 腳本並執行任意程式碼，可能完全控制網站。
- 條件
- 無需登入即可利用，且上傳後的檔案需可經由網站存取。
修補：升級至 1.0.8 以上
最新 CVE 資安情報
共 3 筆
9.8Critical
CVE-2026-110959 Descope WordPress 外掛未驗證登入權杖導致帳號接管
對象網管資安IT開發
- 成因
- 建立 WordPress 登入工作階段時未向 Descope 驗證 session JWT，身分改採客戶端提供的 email。
- 影響
- 未授權攻擊者只要知道既有帳號 email，即可取得該帳號的 WordPress 登入 session 並完整接管。
- 條件
- 目標站須已安裝並啟用 Descope WordPress 外掛 1.2.0 之前版本，攻擊者才能呼叫其登入處理常式。
修補：升級至 1.2.0 以上
9.8Critical
CVE-2026-63857 Linux kernel Airoha Ethernet 驅動未初始化 skb fragment 讀取
對象網管IT開發
- 成因
- Airoha Ethernet 驅動 airoha_dev_xmit 在索引等於 nr_frags 時仍讀未初始化的 skb fragment。
- 影響
- 可能造成核心 page fault、oops 或提前釋放 skb 的 use-after-free，導致網路中斷與拒絕服務。
- 條件
- 需載入 CONFIG_NET_AIROHA 驅動，並從 Airoha EN7581 WAN／LAN 介面以多 fragment skb 傳送封包。
修補：依版本分支升級（詳見內頁）