每日高危漏洞速报 2026-09-01（19 条）
每日高危漏洞速报 · 2026-09-01
共收录 19 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述 当日 19 条高价值漏洞中，没有一条标记为在野利用；不过 Mozilla 系产品占了 15 条，几乎覆盖当日全部条目，其中 2 条为 DOM 组件 use-after-free 导致的沙箱逃逸，影响 Firefox 与 Thunderbird 多个 ESR 分支。其余 4 条涉及 WordPress 插件与主题（任意文件上传、账户接管提权）、Ebyte 厂商配置工具（未授权管理功能访问与弱哈希认证），以及新近的 MCPHub 与 Go 语言部署系统 Goploy，均属可直接获取控制权、或自行搭建后暴露在公网的服务。建议优先处理 Firefox、Thunderbird 的 ESR 分支升级（115.40、140.15、153.2 及以上），以及 WordPress 站点的插件与主题更新；对外提供 MCPHub、Goploy 的服务应尽快打补丁，或临时限制访问。
今日收录
- CVE-2026-79748 —
9.9— MCPHub 0.12.15 之前版本 POST /api 相关缺陷，导致可绕过接口访问控制。 - CVE-2026-73819 —
9.8— Ebyte 配置工具在特定凭据条件下未验证操作者身份，即可访问管理功能。 - CVE-2026-76133 —
9.8— Ebyte 产品认证流程使用已弃用哈希算法，攻击者可预测认证交互并攻击。 - CVE-2026-75865 —
9.8— WordPress WPLP Cookie Consent 插件因文件类型校验缺失，存在任意文件上传漏洞。 - CVE-2026-18550 —
9.8— Nokri 求职主题 1.6.6 及以下版本重置令牌校验不足，可导致账户接管提权。 - CVE-2026-84129 —
9.8— Firefox 与 Thunderbird 的 DOM 导航组件存在站点隔离缺陷，已在 155 及 ESR 153.2 修复。 - CVE-2026-84133 —
9.8— DOM Push Subscriptions 组件存在站点隔离问题，可跨站影响，新版 Firefox 与 Thunderbird 已修复。 - CVE-2026-84134 —
9.8— 配置文件备份组件存在安全缺陷，影响 Firefox ESR 153.2 与 Thunderbird 等版本。 - CVE-2026-84135 —
9.8— 安卓版 Firefox Focus 存在安全问题，已在 Firefox 155 中修复。 - CVE-2026-84136 —
9.8— DOM 导航组件存在另一处缺陷，攻击者可能借此影响 Firefox 与 Thunderbird 渲染进程。 - CVE-2026-84137 —
9.8— DOM Core & HTML 组件存在欺骗问题，可能导致界面伪装，影响 Firefox 与 Thunderbird。 - CVE-2026-84139 —
9.8— DOM 事件组件存在点击劫持缺陷，Firefox 与 Thunderbird 多版本受影响。 - CVE-2026-84140 —
9.8— DOM 导航组件存在站点隔离缺陷，可被用于跨源攻击，需升级至 155 或 ESR 153.2。 - CVE-2026-84141 —
9.8— 图形 ImageLib 组件存在整数溢出，可能导致内存破坏，已在新版 Firefox 中修复。 - CVE-2026-84142 —
9.8— Thunderbird 154 内部发现多处内存破坏类缺陷，可能被用于任意代码执行。 - CVE-2026-84143 —
9.8— Thunderbird 154 及 ESR 153.1、140.14 存在内存破坏缺陷，存在被利用执行代码的风险。 - CVE-2026-53552 —
9.6— Goploy 1.17.5 及以下版本项目文件与编辑接口未充分鉴权，可越权操作项目。 - CVE-2026-84119 —
9.6— DOM 导航组件 use-after-free 导致沙箱逃逸，涉及 Firefox ESR 115.40、140.15、153.2。 - CVE-2026-84121 —
9.6— DOM 安全组件 use-after-free 可逃逸沙箱，Firefox 与 Thunderbird 多分支已修复。