每日高危漏洞速报 2026-05-07（10 条）
每日高危漏洞速报 · 2026-05-07
共收录 10 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述：当日收录 10 条高价值漏洞，其中 1 条已确认在野利用（CVE-2026-6973，Ivanti EPMM），属本批次的最高优先级。浏览器与邮件客户端仍是重点攻击面，Firefox/Thunderbird 系列有 5 条 9.8 至 9.8 的漏洞，Google Chrome 连续出现两条 9.6 的沙箱逃逸与站点隔离绕过，均可通过诱导访问恶意 HTML 页面触发。其余风险集中在自托管与容器化应用（Gotenberg、Open Notebook、Vvveb、OpenClaw）及 IoT 设备（Optoma 投影仪），其中 Vvveb 硬编码凭据、Optoma 未认证远控接口均属开箱即暴露的配置类问题。建议优先修复 Ivanti EPMM 和 Chrome 两条沙箱逃逸漏洞，并排查内网中默认部署的容器镜像与管理接口。
今日收录
- CVE-2026-6973 —
0.0— Ivanti EPMM 输入校验缺陷，具管理权限的远程认证用户可执行任意代码 [KEV] - CVE-2026-40281 —
10.0— Gotenberg ≤8.30.1 元数据写入端点未清理键值，可致注入风险 - CVE-2026-33587 —
10.0— Open Notebook 1.8.3 存在模板注入，用户可在容器内执行 Python 与系统命令 - CVE-2026-41930 —
9.8— Vvveb <1.0.8.2 的 docker-compose 中硬编码凭据，可未授权登录内置 phpMyAdmin - CVE-2026-8091 —
9.8— Firefox/Thunderbird 音视频播放组件边界条件错误，已在 150 等版本修复 - CVE-2026-8094 —
9.8— Firefox ESR/Thunderbird WebRTC 组件缺陷，已在 140.10.2 版本修复 - CVE-2026-30496 —
9.8— Optoma CinemaX P2 投影仪 2345 端口 HTTP API 无认证，可完整远程控制设备 - CVE-2026-7908 —
9.6— Chrome <148.0.7778.96 全屏释放后使用，恶意 HTML 页可借以逃逸沙箱 - CVE-2026-7910 —
9.6— Chrome <148.0.7778.96 Views 释放后使用，可绕过站点隔离 - CVE-2026-43581 —
9.6— OpenClaw <2026.4.10 沙箱 CDP 中继绑定 0.0.0.0，DevTools 协议对外暴露