每日高危漏洞速报 2026-05-15（10 条）
每日高危漏洞速报 · 2026-05-15
共收录 10 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述
2026-05-15 共收录 10 条高价值漏洞，其中 2 条已被在野利用，应当优先处置：CVE-2026-8398 是 DAEMON Tools Lite 官方安装包遭供应链投毒，影响面覆盖所有下载该版本的用户；CVE-2026-42897 涉及 Microsoft Exchange Server 的 Outlook Web Access 跨站脚本问题，企业邮件系统需紧急排查。此外，Gotenberg（两条）、Fleet、mdserver-web 等自托管服务均出现 9.8 分的未授权命令执行或过滤绕过漏洞，暴露在公网的实例风险极高。Chrome 的 3 条沙箱逃逸问题已在新版本中修复，建议尽快升级。
今日收录
- CVE-2026-42589 —
9.8— Gotenberg 8.31.0 前元数据写入端点未过滤 JSON 键，可注入执行命令。 - CVE-2026-41315 —
9.8— mdserver-web 0.18.0–0.18.4 定时任务接口缺少鉴权，导致未授权远程命令执行。 - CVE-2026-26191 —
9.8— Fleet 4.81.0 之前版本的软件安装流水线可能被恶意安装包利用，可执行任意命令。 - CVE-2026-5229 —
9.8— WordPress Form Notify 插件至 1.1.10 因信任 cookie 导致身份认证绕过。 - CVE-2026-8398 —
9.8— DAEMON Tools Lite 12.5.0.2421–2434 官方安装包遭供应链投毒。 [KEV] - CVE-2026-8511 —
9.6— Chrome 148.0.7778.168 前 UI 释放后使用，恶意页面可触发沙箱逃逸。 - CVE-2026-8580 —
9.6— Chrome 148.0.7778.168 前 Mojo 释放后使用，恶意页面可触发沙箱逃逸。 - CVE-2026-42596 —
9.4— Gotenberg 8.31.0 前 downloadFrom 与 webhook 默认拒绝列表可被绕过。 - CVE-2026-45375 —
9.0— 思源笔记 3.7.0 前集市渲染插件包名与版本字段，可致脚本注入。 - CVE-2026-42897 —
0.0— Exchange Server OWA 生成网页时存在跨站脚本，特定交互下可执行任意 JS。 [KEV]