每日高危漏洞速报 2026-11-10（10 条）
每日高危漏洞速报 · 2026-11-10
共收录 10 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述：当日收录 10 条漏洞，其中 7 条为 Mozilla Firefox/Thunderbird 的沙箱逃逸漏洞（CVSS 9.6），集中在 Text、Cache API、cubeb、Service Workers、IPC、Gtk 等组件，均由 Use-After-Free 或边界条件错误引发，且均已在 Firefox 160 / ESR 115.45 / ESR 153.7 等版本修复。另有三条为在野利用漏洞，分别涉及 Microsoft Outlook 的欺骗问题、Openwave Webtop Media Transcoder 的文档处理缺陷以及 Chromium XML 组件的远程代码执行。尽管这三条在野利用漏洞的 CVSS 分数未给出，但应优先修补：浏览器与邮件客户端是主要入口，且已有在野利用，因此建议优先修复 Outlook 与 Chromium 相关补丁，并同步升级 Firefox/Thunderbird 全线产品。
今日收录
- CVE-2026-124853 —
9.6— Firefox/Thunderbird 文本组件边界条件错误致沙箱逃逸，升级至修复版本即可。 - CVE-2026-124859 —
9.6— 缓存 API 组件边界条件错误引发沙箱逃逸，影响 Firefox 与 Thunderbird。 - CVE-2026-124861 —
9.6— cubeb 音视频组件存在释放后使用，可致沙箱逃逸，需升级浏览器。 - CVE-2026-124864 —
9.6— Service Workers 组件释放后使用导致沙箱逃逸，Firefox/Thunderbird 受影响。 - CVE-2026-124900 —
9.6— Service Workers 组件释放后使用致沙箱逃逸，仅 Firefox 160 与 Thunderbird 160 修复。 - CVE-2026-124903 —
9.6— IPC 组件释放后使用可逃逸沙箱，影响 Firefox 及 ESR、Thunderbird。 - CVE-2026-124917 —
9.6— Widget: Gtk 组件释放后使用致沙箱逃逸，涉及 Firefox 160 与 ESR 153.7。 - CVE-2026-124194 —
0.0— Outlook 缺失用户交互检查，远程攻击者可实施欺骗。 [KEV] - CVE-2026-111793 —
0.0— Webtop Media Transcoder 资源转移缺陷，认证用户可转换非预期文档。 [KEV] - CVE-2026-125350 —
0.0— Chromium XML 组件释放后使用，恶意网页可在沙箱内执行任意代码。 [KEV]