一、Next.js next/og 未授权远程代码执行风险

Next.js 是基于 React 的网页开发框架，主要用于搭建网站、 Web 应用。

风险详情：2026年9月23日，监测到 Next.js next/og未授权远程代码执行漏洞（CVE-2026-94545），该漏洞影响范围如下：

16.2.0  <=  Next.js  <  16.3.6

攻击者无需提前获取目标系统账号权限，只要目标网站采用存在安全缺陷的 Next.js 程序、启用对应图片生成功能，且攻击者可控数据能够被置入图片相关的图形代码、属性或样式中，即可发起攻击。一旦满足对应的运行环境和组件要求，该漏洞就有可能在网站服务运行的环境里，让攻击者远程执行恶意代码。

建议措施：联系信息中心获取版本更新（补丁）链接。

二、QAnything 未授权任意文件创建风险

QAnything 是网易有道开源的本地知识库问答系统，用于创建本地文档知识库。

风险详情：近日，监测到 QAnything 未授权任意文件创建漏

洞（CVE-2026-88533），该漏洞影响范围如下： QAnything  v1.4.x  ≤  受影响版本 ≤  v2.0.0

文件上传功能没有对用户可自行填写的文件名称做好路径限制。未登录的外部人员可以访问该服务，利用这个漏洞把文件存放到系统中不允许的位置。在官方容器部署方式下，后台程序使用最高权限运行，攻击者还能借助程序启动机制，在后台服务重启后获取系统最高权限并运行恶意代码。

建议措施：

1.通过防火墙、安全组或 ACL 限制 QAnything 默认 8777 端口，仅允许可信IP 或内网访问，避免服务直接暴露至公网。

2.避免 QAnything 后端进程或容器以 root 权限运行，并限制其对非业务目录的写权限。

三、WordPress  Core 未认证路径遍历与本地文件包含风险

WordPress 是一个以 PHP 和 MySQL 为平台的自由开源的博客软件和内容管理系统。

风险详情：近日，监测到 WordPress  Core 未认证路径遍历

与本地文件包含（CVE-2026-87902），该漏洞影响范围如下：

WordPress 7.1 分支 < 7.1.2       WordPress 7.0 分支 < 7.0.6       WordPress 6.9 分支 < 6.9.9

WordPress 6.8 分支 < 6.8.10       WordPress 6.7 分支 < 6.7.9      WordPress 6.6 分支 < 6.6.9

WordPress 6.5 分支 < 6.5.12       WordPress 6.4 分支 < 6.4.12     WordPress 6.3 分支 < 6.3.12

WordPress 6.2 分支 < 6.2.13       WordPress 6.1 分支 < 6.1.14       WordPress 6.0 分支 < 6.0.16       

WordPress 5.9 分支 < 5.9.18       WordPress 5.8 分支 < 5.8.17       WordPress 5.7 分支 < 5.7.19

WordPress 5.6 分支 < 5.6.21       WordPress 5.5 分支 < 5.5.22       WordPress 5.4 分支 < 5.4.23

WordPress 5.3 分支 < 5.3.25       WordPress 5.2 分支 < 5.2.28       WordPress 5.1 分支 < 5.1.26

WordPress 5.0 分支 < 5.0.29       WordPress 4.9 分支 < 4.9.33       WordPress 4.8 分支 < 4.8.32

WordPress 4.7 分支 < 4.7.37

该漏洞存在于 WordPress 核心页面模板解析功能中，未经身份认证的攻击者可在满足特定条件时，加载主题目录之外的本地PHP 文件，可能导致远程代码执行。

建议措施：联系信息中心获取版本更新（补丁）链接。