漏洞风险提示（20260720）

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 WordPress REST API 批处理路由混淆远程代码执行漏洞 (CVE-2026-63030)
一、漏洞描述：
        
        WordPress 是一款开源建站内容管理系统。
        WordPress REST API 批量请求接口存在路由混淆缺陷，未认证远程攻击者可构造嵌套恶意批处理请求，绕过接口校验逻辑，搭配 SQL 注入漏洞读取管理员账号哈希，最终实现远程代码执行，完全控制网站服务。
二、风险等级：
        高
三、影响范围：
        WordPress 6.9.0~6.9.4、7.0.0~7.0.1
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://nvd.nist.gov/vuln/detail/CVE-2026-63030

---

2 Squid 堆缓冲区越界读取漏洞 (CVE-2026-47729)
一、漏洞描述：
        
        Squid 是一款开源 Web 代理缓存服务器。
        Squid 内置 FTP 协议解析模块处理特殊目录列表时缺少边界校验，触发堆缓冲区越界读取，内网同代理用户可搭建恶意 FTP 服务器，读取内存中其他用户明文请求、会话 Cookie、接口密钥等敏感数据。
二、风险等级：
        高
三、影响范围：
        Squid Proxy 全版本小于 7.6
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://cloud.tencent.com/announce/detail/2333

---

3 Microsoft SharePoint 反序列化漏洞 (CVE-2026-58644)
一、漏洞描述：
        
        Microsoft SharePoint Server 是企业文档协同管理平台。
        SharePoint 存在不可信数据反序列化漏洞，无需身份认证的远程攻击者发送特制请求即可执行任意系统代码，漏洞已存在野外零日攻击利用记录。
二、风险等级：
        高
三、影响范围：
        Microsoft SharePoint Server 2016/2019 / 订阅版（未安装 2026 年 7 月周二补丁）
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://msrc.microsoft.com/updat ... lity/CVE-2026-58644

---

4 TP-Link Archer操作系统命令注入漏洞（CVE-2026-9151）
一、漏洞描述：
        
        TP-Link Archer AX12 V1、AX18 V1、AX1300 V1.6以及AX17 V1是一款支持VPN功能的无线路由器产品，主要提供网络连接与管理服务。
        TP-Link Archer操作系统存在命令注入漏洞。该漏洞源于未能正确过滤特殊字符，攻击者可利用该漏洞通过导入特制的VPN客户端配置文件在设备上执行任意命令。
二、风险等级：
        高
三、影响范围：
        TP-Link Archer AX12 v1
        TP-Link Archer AX17 v1
        TP-Link Archer AX18 v1
        TP-Link Archer AX1300 v1.6
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://www.tp-link.com/en/support/download/archer-ax17/#Firmware

---