Qt框架QtNetwork模块的HTTP Cache-Control响应头解析存在越界读取漏洞（CVE-2026-76151），影响Qt 6.0.0至6.8.8及6.9.0至6.11.1。恶意HTTP服务器可返回超大Cache-Control头，导致客户端QNetworkAccessManager异常终止。该漏洞仅影响客户端，不涉及32位构建，为只读越界，无信息泄露或代码执行，仅造成拒绝服务，CVSS 4.0评分4.6。建议更新至6.8.9、6.11.2或更高版本，或应用官方补丁。

Qt 的 QDomNode 析构函数存在无界递归漏洞（CVE-2026-19248），影响 Qt 2.2.0 至 6.8.8、6.9.0 至 6.11.1。解析不可信 XML 可导致崩溃，CVSS 4.0 评分为 7.1。建议改用 QXmlStreamReader、限制解析深度或增大栈，并升级至 Qt 6.8.9、6.11.2 或更高版本。

Qt NFC模块（qtconnectivity）的QNdefNfcTextRecord类存在越界读取与整数下溢漏洞（CVE-2026-13326）。恶意NFC标签可声明超出实际负载的语言代码长度，Qt未做边界检查，导致剩余文本长度计算下溢并读取超出缓冲区。攻击需近距离接触且用户点击，最坏可致应用崩溃（拒绝服务），并可能泄露相邻内存。影响Qt 5.2.0至6.11.1多个版本。建议勿读取不可信标签，并升级至Qt 6.8.9、6.10.4或6.11.2及以后版本。

Qt XML模块存在CWE-674无限制递归漏洞（CVE-2026-11573），影响Qt 6.7.0至6.8.1版本。恶意构造的深层嵌套XML或SVG文档在序列化时耗尽调用栈，导致拒绝服务崩溃，不影响数据安全。建议升级至6.8.2或6.9.0，或限制嵌套深度。

This week's Java roundup for August 3rd, 2026, features news highlighting: JEP 535, Shenandoah GC: Generational Mode by Default, targeted for JDK 28; point releases of A2A Java SDK, Apache Camel...

WordPress 6.9至7.0.1版本存在严重RCE漏洞，由三个漏洞组合利用：REST API批量请求路由混淆（CVE-2026-63030）绕过参数检查，WP_Query的author__not_in参数SQL注入（CVE-2026-60137）污染缓存，再通过oEmbed持久化及Customizer权限切换，最终以管理员身份创建账户并安装恶意插件实现远程代码执行。该漏洞利用巧妙，已获修复。

Qt框架的QtXml模块存在XML注入漏洞（CVE-2026-15037），影响Qt 4、5及6.12之前版本。当应用将不可信文本插入QDom注释、CDATA或处理指令节点并序列化时，攻击者可注入恶意标记，破坏文档结构。CVSS评分2.9（低危）。缓解措施：设置无效数据策略为ReturnNullNode或DropInvalidChars，并验证输入。升级至Qt 6.12或更高版本可修复。

WordPress近日修复两个高危漏洞（CVE-2026-63030/CVE-2026-60137），统称wp2shell，CVSS评分9.8。攻击者可绕过认证，通过SQL注入获取管理员密码并植入WebShell，实现远程代码执行。影响版本低于7.0.2、6.9.5或6.8.6，官方已发布更新，建议用户尽快升级或采取临时防护措施。

该文章复现了Spring Data MongoDB的SpEL注入漏洞（CVE-2022-22980），通过构造恶意keyword参数触发代码执行。漏洞源于findAllByIdLike方法，修复版本为3.4.1和3.3.5，建议使用[0]代替?0参数绑定。