每日高危漏洞速报 2026-05-19（18 条）
每日高危漏洞速报 · 2026-05-19
共收录 18 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述：当日 18 条记录 CVSS 均在 9.1 以上，但均未标记在野利用（KEV），暂无已知的主动攻击活动。风险集中于 Apache OFBiz（4 条，其中 CVE-2026-45434 可通过改密逻辑绕过认证并实现远程代码执行，另有硬编码密钥与 LDAP 注入，均需升级至 24.09.06）、Mozilla Firefox/Thunderbird 系列（6 条，含两处沙箱逃逸与两处同源策略绕过，随 151 / ESR 140.11 修复）以及 WordPress 插件任意文件上传（CVE-2026-4883、CVE-2026-4885）。建议优先处置可直接获取代码执行或绕过认证的条目：OFBiz、两个 WordPress 插件、Edge、NGINX njs 与 WebdriverIO，浏览器类则应随版本更新同步推送。
今日收录
- CVE-2026-45495 —
9.8— Chromium 内核 Edge 远程代码执行，诱导用户访问恶意页面即可触发。 - CVE-2026-25244 —
9.8— WebdriverIO 9.24.0 之前版本存在命令注入，可导致远程代码执行。 - CVE-2026-47310 —
9.8— 三星开源 JS 引擎 Escargot 释放后重用，可被用于指针操纵。 - CVE-2026-47311 —
9.8— Escargot 堆缓冲区溢出，特定提交版本受影响，可破坏内存。 - CVE-2026-47314 —
9.8— Escargot 存在越界写，攻击者可造成缓冲区溢出。 - CVE-2026-4885 —
9.8— WordPress 插件 Piotnet Addons Pro 缺少文件类型校验，可上传任意文件。 - CVE-2026-45434 —
9.8— Apache OFBiz 改密逻辑缺陷绕过认证并远程执行代码，需升至 24.09.06。 - CVE-2026-43493 —
9.8— Linux 内核 pcrypt 未正确处理 MAY_BACKLOG 请求返回的 EBUSY。 - CVE-2026-4883 —
9.8— WordPress 插件 Piotnet Forms 表单构建函数缺少类型校验，任意文件上传。 - CVE-2026-47323 —
9.8— Camel-CXF 与 Camel-Knative 入站头过滤缺失，可实施消息头注入。 - CVE-2026-8956 —
9.8— Firefox 网络 JAR 组件整数溢出，ESR 140.11 与 151 已修复。 - CVE-2026-8711 —
9.8— NGINX njs 在 js_fetch_proxy 引用客户端可控变量时存在缺陷。 - CVE-2026-8953 —
9.6— Firefox 无障碍 API 组件释放后重用导致沙箱逃逸，ESR 115.36 起修复。 - CVE-2026-8959 —
9.6— Firefox Win32 控件边界条件错误导致沙箱逃逸，151 与 ESR 140.11 修复。 - CVE-2026-8950 —
9.3— Firefox 网络 HTTP 组件同源策略绕过，可跨源读取数据。 - CVE-2026-31986 —
9.1— Apache OFBiz 使用硬编码加密密钥，24.09.06 之前版本均受影响。 - CVE-2026-41919 —
9.1— Apache OFBiz 对 LDAP 查询特殊元素中和不当，存在 LDAP 注入。 - CVE-2026-8948 —
9.1— Firefox DOM 网络组件同源策略绕过，151 与 Thunderbird 151 修复。