每日高危漏洞速报 2026-05-12（9 条）
每日高危漏洞速报 · 2026-05-12
共收录 9 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述：当日 9 条高价值漏洞的 CVSS 分数集中在 9.6–10.0，其中有 1 条已确认在野利用。最需要优先处理的是 CVE-2026-45321：npm 上 @tanstack/* 的 42 个包共 84 个恶意版本被发布，供应链污染面向大量前端项目，影响面远超单点漏洞。Cribl Edge 同日出两个 9.8 分漏洞（Linux 命令注入、Windows 提权至 SYSTEM），Firefox/Thunderbird 出现沙箱逃逸，Ivanti Xtraction 可被认证用户任意读文件；这些都应纳入本周期优先修补清单。其余为 Flowise、Open edX、SOCFortress CoPilot、OpenClaw 等应用侧高危缺陷，多需认证或特定配置前置条件。
今日收录
- CVE-2026-42869 —
10.0— SOCFortress CoPilot 0.1.57 之前版本内置硬编码 JWT 签名密钥作为回退值，可伪造令牌。 - CVE-2026-42858 —
9.9— Open edX SAML 同步接口允许已认证企业管理员提交任意数据，导致越权。 - CVE-2026-43995 —
9.8— Flowise 3.1.0 之前多个工具直接调用原始 HTTP 客户端，存在请求伪造与内网访问风险。 - CVE-2026-8305 —
9.8— OpenClaw 至 2026.1.24 的 bluebubbles 组件 webhook 处理函数存在高危缺陷。 - CVE-2026-45391 —
9.8— Cribl Edge Linux 3.2.0–4.17.0 命令注入，本地非特权用户可以服务账号身份执行命令。 - CVE-2026-45393 —
9.8— Cribl Edge Windows 4.17.1 之前由于安装器权限配置错误，本地用户可提权至 SYSTEM。 - CVE-2026-8401 —
9.8— Firefox/Thunderbird 的“配置文件备份”组件存在沙箱逃逸，已在 150.0.3 等版本修复。 - CVE-2026-45321 —
9.6— @tanstack/* 的 42 个包被发布 84 个恶意版本，利用合法发布凭证投毒 npm 供应链。[KEV] - CVE-2026-8043 —
9.6— Ivanti Xtraction 2026.2 之前文件名可控，远程认证用户可读取敏感文件并写入任意 HTML。