每日高危漏洞速报 2026-06-16（15 条）
每日高危漏洞速报 · 2026-06-16
共收录 15 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述
当日 15 条漏洞中有 2 条确认在野利用：Zyxel GS1900-48HPv2 交换机固件的 CGI 栈溢出（LAN 内未认证即可触发）与 Joomla 内容编辑器的访问控制缺陷（可上传并执行 PHP），应列为最高处置优先级。Mozilla 一次性披露 7 条 Firefox 与 Thunderbird 沙箱逃逸及同源策略绕过漏洞，跨主版本与 ESR 分支，需整体升级至 152/140.12/115.37。ThingsBoard 认证绕过与两款 WordPress 插件未授权 SQL 注入均无需凭据，暴露面广。其余 Discuz! 备份恢复越权亦建议优先排查互联网侧实例。
今日收录
- CVE-2026-36537 —
9.8— ThingsBoard 4.3.0.1 OAuth 授权码交换错误信任用户身份参数，可绕过认证 - CVE-2026-50871 —
9.8— Reminiscence 0.3.0 媒体归档导出组件命令注入，构造输入可执行任意命令 - CVE-2026-12293 —
9.8— Firefox 与 Thunderbird WebGPU 组件释放后重用，152 版已修复 - CVE-2026-12294 —
9.6— DOM Workers 组件沙箱逃逸，影响 Firefox 与 Thunderbird 多版本 - CVE-2026-12295 —
9.6— DOM Navigation 组件沙箱逃逸，Firefox 与 Thunderbird 需升级 - CVE-2026-12296 —
9.6— 进程沙箱组件沙箱逃逸，Firefox 152、ESR 140.12 已修复 - CVE-2026-12297 —
9.6— 网络组件边界条件错误致沙箱逃逸，多版本 Firefox 受影响 - CVE-2026-49776 —
9.3— WordPress GPTranslate ≤2.32.6 未授权 SQL 注入，可读取站点数据 - CVE-2026-52715 —
9.3— WordPress GEO my WP ≤4.5.5 未授权 SQL 注入，无需登录即可利用 - CVE-2026-49952 —
9.1— Discuz! X5.0 认证绕过，未授权访问数据库备份与恢复功能 - CVE-2026-12304 —
9.1— Cookies 组件同源策略绕过，可跨源读取敏感数据 - CVE-2026-12315 —
9.1— DOM Security 组件缓解措施绕过，削弱浏览器既有防护 - CVE-2026-12316 —
9.1— DOM Security 组件缓解绕过，影响 Firefox 152 与 Thunderbird 152 - CVE-2026-7273 —
8.8— Zyxel GS1900-48HPv2 固件 CGI 栈溢出，LAN 内未认证攻击者可利用 [KEV] - CVE-2026-48907 —
0.0— Joomla 内容编辑器 Widget Factory 访问控制不当，未授权建配置并执行 PHP [KEV]