每日高危漏洞速报 2026-01-13（9 条）
每日高危漏洞速报 · 2026-01-13
共收录 9 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述
当日收录 9 条漏洞，其中 8 条评分在 9 分以上，涉及 Mozilla Firefox 与 Thunderbird，存在多个沙箱逃逸与内存破坏问题，并且它们都在新版本中统一修复，因此应优先推动浏览器与邮件客户端升级。唯一确认被在野利用的是 Microsoft Windows DWM 信息泄露漏洞（CVE-2026-20805），尽管其评分数据缺失，仍应视为最高优先级进行排查。其余风险来自 WordPress 主题、插件的缺失权限校验与任意文件删除，以及 TinyWeb HTTP 服务器中无需认证即可触发的命令注入，这些风险会影响公网暴露面。总体来看，当日风险集中在终端软件与 Web 中间件，建议按照“在野利用 > 无需认证的远程利用 > 本地权限提升”的顺序安排修补。
今日收录
- CVE-2025-40805 —
10.0— 特定 API 端点未强制用户认证，未授权远程攻击者可绕过认证并冒充合法用户。 - CVE-2026-0881 —
10.0— Firefox 147 与 Thunderbird 147 修复的消息组件沙箱逃逸，可突破隔离边界。 - CVE-2026-22781 —
9.8— TinyWeb HTTP 服务器 1.98 之前版本经 CGI ISINDEX 查询参数触发操作系统命令注入。 - CVE-2025-10915 —
9.8— WordPress 主题 Dreamer Blog 至 1.2 因缺失权限校验，可被用于任意插件或主题安装。 - CVE-2026-0879 —
9.8— Firefox 与 Thunderbird 图形组件边界条件错误导致沙箱逃逸，已在 ESR 115.32/140.7 修复。 - CVE-2026-0884 —
9.8— Firefox 147、ESR 140.7 与 Thunderbird 修复 JavaScript 引擎中的释放后重用漏洞。 - CVE-2026-0892 —
9.8— Firefox 146 与 Thunderbird 146 内存安全缺陷，存在内存破坏证据并可能被利用执行代码。 - CVE-2025-14829 —
9.1— WordPress 插件 E-xact Hosted Payment 至 2.0 路径校验不足，未授权攻击者可删除任意文件。 - CVE-2026-20805 —
0.0— Windows 桌面窗口管理器信息泄露，具权限的本地攻击者可读取敏感信息 [KEV]