每日高危漏洞速报 2026-07-21（53 条）
每日高危漏洞速报 · 2026-07-21
共收录 53 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述：当日收录漏洞 53 条，其中 2 条已在野利用（Langflow 代码执行、DD-WRT UPnP 栈溢出），应作为最高优先级立即排查。Mozilla 集中披露了 Firefox 153 / Thunderbird 153 的大批量修复，包含多个沙箱逃逸、UAF、JIT 误编译与 NSS 内存缺陷，桌面终端应尽快统一升级。Google Chrome 同批修复 3 个可沙箱逃逸或造成堆破坏的 UAF，Apache Fory 反序列化链亦有多个 9.8 以上缺陷。此外 WordPress 插件未授权提权和 npm 包供应链投毒值得开发者侧关注。
今日收录
- CVE-2026-0770 —
0.0— Langflow 引入不可信功能模块，远程攻击者可执行任意代码。[KEV] - CVE-2021-27137 —
0.0— DD-WRT UPnP 内部缓冲区栈溢出，未认证攻击者可触发代码执行。[KEV] - CVE-2026-46412 —
10.0— @beproduct/nestjs-auth 因 npm 包被投毒，OIDC 认证模块面临供应链攻击。 - CVE-2026-16367 —
10.0— Firefox/Thunderbird 无障碍 API 指针异常可逃逸沙箱，153 前版本受影响。 - CVE-2026-54051 —
9.9— Network-AI 5.9.1 前沙箱命令白名单可绕过，导致任意命令执行。 - CVE-2026-13439 —
9.8— WordPress Easy Form Builder ≤4.0.11 未授权提权至管理员。 - CVE-2026-64608 —
9.8— Apache Fory C++ 兼容模式反序列化堆类型混淆，可越界读写。 - CVE-2026-64606 —
9.8— Apache Fory Java lambda 反序列化可绕过类注册校验。 - CVE-2026-16349 —
9.8— Firefox DOM 导航组件同源策略绕过。 - CVE-2026-16350 —
9.8— Firefox 音视频 cubeb 组件边界条件处理错误。 - CVE-2026-16351 —
9.8— Firefox DOM 导航组件 UAF 可导致沙箱逃逸。 - CVE-2026-16352 —
9.8— Firefox 无障碍 API UAF 可导致沙箱逃逸。 - CVE-2026-16353 —
9.8— Firefox WebIDL 绑定组件存在无效指针。 - CVE-2026-16355 —
9.8— Firefox JS 引擎 JIT 误编译，可能被用于代码执行。 - CVE-2026-16356 —
9.8— Firefox 无障碍 API 另一处 UAF 沙箱逃逸。 - CVE-2026-16357 —
9.8— Firefox 图形组件边界条件处理错误。 - CVE-2026-16358 —
9.8— Firefox WebRender 站点隔离失效。 - CVE-2026-16360 —
9.8— Thunderbird 140.12/152 内存安全缺陷，含内存破坏证据。 - CVE-2026-16361 —
9.8— Thunderbird ESR 140.12 内存破坏，疑可致任意代码执行。 - CVE-2026-16363 —
9.8— Firefox WebAssembly 组件 JIT 误编译。 - CVE-2026-16368 —
9.8— Firefox WebAssembly 组件边界条件处理错误。 - CVE-2026-16369 —
9.8— Firefox WebAssembly 组件整数溢出。 - CVE-2026-16375 —
9.8— Firefox HTTP 网络组件站点隔离问题。 - CVE-2026-16377 —
9.8— Firefox PDF 阅读器缓解措施可被绕过。 - CVE-2026-16382 —
9.8— Firefox Service Worker 缓解措施可被绕过。 - CVE-2026-16383 —
9.8— Firefox DOM 网络组件缓解措施可被绕过。 - CVE-2026-16387 —
9.8— Firefox 网络组件站点隔离问题。 - CVE-2026-16388 —
9.8— Firefox DOM 网络组件可被用于沙箱逃逸。 - CVE-2026-16389 —
9.8— NSS 库边界条件错误与整数溢出。 - CVE-2026-16395 —
9.8— Firefox 音视频组件整数溢出。 - CVE-2026-16402 —
9.8— Firefox ImageLib 图形组件整数溢出。 - CVE-2026-16407 —
9.8— Firefox Service Worker 另一处缓解绕过。 - CVE-2026-16408 —
9.8— Firefox 音视频播放组件整数溢出。 - CVE-2026-16410 —
9.8— Firefox JS JIT 另一处误编译问题。 - CVE-2026-16411 —
9.8— Thunderbird 152 内存安全缺陷，或可致任意代码执行。 - CVE-2026-16412 —
9.8— Thunderbird ESR 140.12/152 内存安全缺陷。 - CVE-2026-15899 —
9.6— Chrome Mac 150.0.7871.128 前 CameraCapture UAF 可沙箱逃逸。 - CVE-2026-15900 —
9.6— Chrome Android GPU UAF，构造页面可致沙箱逃逸。 - CVE-2026-15901 —
9.6— Chrome 网络组件 UAF，可被用于堆破坏。 - CVE-2026-65048 —
9.3— WordPress Ninja Forms 3.10.4–3.14.9 未授权存储型 XSS。 - CVE-2026-65049 —
9.3— Ninja Forms ≤3.14.8 授权错误，子站管理员可删除全网表单。 - CVE-2026-28220 —
9.1— Wazuh 4.14.5 前集群 DAPI 处理缺陷，集群节点可越权。 - CVE-2026-64609 —
9.1— Apache Fory 零拷贝反序列化经 Unsafe 越界读取。 - CVE-2026-16359 —
9.1— Firefox 音视频 GMP 组件边界条件处理错误。 - CVE-2026-16364 —
9.1— Firefox 音视频播放组件边界条件处理错误。 - CVE-2026-16370 —
9.1— Firefox DOM 网络组件缓解措施绕过。 - CVE-2026-16380 —
9.1— Firefox 网络组件缓解措施绕过。 - CVE-2026-16381 —
9.1— Firefox DNS 组件同源策略绕过。 - CVE-2026-16390 —
9.1— Firefox 企业策略组件缓解措施绕过。 - CVE-2026-16392 —
9.1— Firefox JS 引擎 JIT 另一处误编译。 - CVE-2026-16393 —
9.1— Firefox WebGPU 组件边界条件处理错误。 - CVE-2026-16394 —
9.1— Firefox DOM 安全组件缓解措施绕过。 - CVE-2026-16406 —
9.1— Firefox 网络组件另一处缓解措施绕过。