每日高危漏洞速报 2026-04-21（9 条）
每日高危漏洞速报 · 2026-04-21
共收录 9 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述
2026-04-21 共收录 9 条高价值漏洞，评分集中在 9.1–9.9，全部为 critical 级，但当日无 CVE 被标记为在野利用（kev 均为 false），暂无已知活跃攻击的公开证据。风险最集中的是 Mozilla 生态：Firefox、Firefox ESR 与 Thunderbird 同日修复 5 条 9.1–9.8 漏洞，涉及 WebCodecs 未初始化内存、Cookie 与 DOM 安全组件的缓解绕过，浏览器与邮件客户端用户基数大，应作为本轮优先修补对象。其余为 Spinnaker、OpenAEV、Flowsint、Vvveb CMS、Roxy-WI 等开源平台的高危问题，多数需认证或特定配置（如 LDAP 启用）才能触发，建议结合暴露面排查。
今日收录
- CVE-2026-32604 —
9.9— Spinnaker 多云端持续交付平台旧版本存在任意命令执行，攻击者可简单利用。 - CVE-2026-24467 —
9.8— OpenAEV 攻防演练平台 1.0.0 至 2.0.13 之前版本存在高危缺陷。 - CVE-2026-32311 —
9.8— Flowsint 开源 OSINT 图谱工具调查功能存在高危漏洞，影响调查数据管理。 - CVE-2026-6748 —
9.8— Firefox 与 Thunderbird 的 WebCodecs 组件存在未初始化内存问题，已在 150 及 ESR 140.10 修复。 - CVE-2026-6760 —
9.8— Firefox 与 Thunderbird 的 Cookies 网络组件可被绕过缓解措施，150 版本已修复。 - CVE-2026-6768 —
9.8— Firefox 与 Thunderbird 的 Cookies 网络组件另存在缓解绕过，需升级至 150。 - CVE-2026-6771 —
9.8— Firefox 与 Thunderbird 的 DOM 安全组件存在缓解绕过，ESR 140.10 同步修复。 - CVE-2026-6257 —
9.1— Vvveb CMS 1.0.8.2 之前版本媒体管理改名逻辑缺 return，认证用户可远程执行代码。 - CVE-2026-33432 —
9.1— Roxy-WI 8.2.8.2 及之前版本在启用 LDAP 时构造搜索过滤器不当，存在注入风险。