每日高危漏洞速报 2026-06-12（8 条）
每日高危漏洞速报 · 2026-06-12
共收录 8 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述 当日 8 条漏洞集中在知名基础设施与终端产品：Apache CXF 同时曝出 XXE 与 JWT 校验缺陷，cPanel & WHM、Google Chrome、Oracle PeopleSoft 亦在列，均为高价值攻击面。最需优先处理的是 Oracle PeopleSoft PeopleTools 的未认证接管漏洞——虽暂无 CVSS 评分（记为 0.0），但已确认在野利用，实际风险高于其余条目。7 条 9 分以上漏洞目前未见在野利用，其中 cPanel 跨租户越权与 Yarbo 硬编码 MQTT 凭据可直接导致横向控制，建议紧随其后修补。Chrome 沙箱逃逸需先攻陷渲染进程，利用门槛相对较高但影响面最广。
今日收录
- CVE-2026-47365 —
9.9— cPanel & WHM 的 WordPress Toolkit <6.11.0 参数注入，认证用户可跨租户越权执行 CLI 命令。 - CVE-2026-49875 —
9.8— Apache CXF 的 SAXParserFactory 未做 JAXP 加固，可触发带外外部实体解析（OOB XXE）。 - CVE-2026-50628 —
9.8— OAuthRequestFilter 逻辑错误：拒绝绑定 IP、放行其他任意 IP，开启该功能反致鉴权失效。 - CVE-2026-10557 —
9.8— Yarbo Android/iOS 应用内置硬编码 MQTT 凭据，全部用户与设备通用，可从二进制中提取。 - CVE-2026-12027 —
9.6— Chrome <149.0.7827.115 Headless 实现不当，渲染进程被攻陷后可实现沙箱逃逸。 - CVE-2026-49973 —
9.4— Hermes WebUI <0.51.358 访问控制缺失，未认证攻击者提交 _set_password 劫持初始设置。 - CVE-2026-50627 —
9.1— Apache CXF 的 JwtAccessTokenValidator 不校验 aud 声明，令牌可跨资源服务器重放。 - CVE-2026-35273 —
0.0— Oracle PeopleSoft PeopleTools 关键功能缺失认证，未认证攻击者可接管企业系统。[KEV]