資安快訊：今日重要 CVE（2026-06-19）

今天有兩則高嚴重度漏洞需要注意：一則影響 Firefox / Thunderbird 的 WebGPU 圖形元件，另一則影響使用 LDAP 驗證的 Apache Shiro 專案。

CVE-2026-12293（嚴重度 CVSS 9.8）

影響

這個漏洞出現在 Firefox 與 Thunderbird 的 Graphics: WebGPU 元件，是 use-after-free 類型問題。

如果你的開發或測試環境會用到 Firefox，或團隊仍使用 Thunderbird，這則漏洞需要優先處理。Mozilla 已在 Firefox 152 與 Thunderbird 152 修復。

該做什麼

將 Firefox 升級到 152 或更新版本。

將 Thunderbird 升級到 152 或更新版本。

CVE-2026-49268（嚴重度 CVSS 9.1）

影響

這個漏洞影響 Apache Shiro。若你的 Java 專案使用 Shiro，並且使用 DefaultLdapRealm 做 LDAP 登入驗證，就在影響範圍內。

問題在於使用者輸入的 username 會被直接接到 LDAP Distinguished Name（DN）樣板中，沒有逸出 RFC 2253 特殊字元。攻擊者可能藉此改變 LDAP bind 驗證使用的 DN 結構，進而繞過驗證或冒充其他使用者。

受影響版本包含 Apache Shiro 2.2.0 及以前所有版本，以及 3.0.0-alpha-1（使用 DefaultLdapRealm 時）。

該做什麼

如果使用 Apache Shiro 2.x，升級到 Apache Shiro 2.2.1 或更新版本。

如果使用 Apache Shiro 3.x alpha，升級到 Apache Shiro 3.0.0-alpha-2 或更新版本。

如果你的專案沒有使用 DefaultLdapRealm，這則漏洞描述的受影響條件不符合；但仍建議檢查相依套件版本，避免之後誤用受影響設定。

資料來源：NVD

• CVE-2026-12293：https://nvd.nist.gov/vuln/detail/CVE-2026-12293
• CVE-2026-49268：https://nvd.nist.gov/vuln/detail/CVE-2026-49268