資安快訊：今日重要 CVE（2026-10-06）

今日重點：多個 Firefox／Thunderbird 高嚴重度漏洞已在新版修補，另外自架影音下載、容器更新與 SXZOS 相關工具出現可遠端執行程式碼的重大風險，使用者應優先升級。

CVE-2025-14321（嚴重度 CVSS 9.8）

影響

這個漏洞影響 Firefox 與 Thunderbird，出現在 WebRTC 的 Signaling 元件中，屬於 use-after-free 問題。對 vibe coding 開發者來說，如果你的日常開發、測試、文件查閱或團隊溝通環境使用 Firefox 或 Thunderbird，就屬於需要處理的範圍。

該做什麼

請升級到已修補版本：Firefox 146、Firefox ESR 140.6、Thunderbird 146 或 Thunderbird 140.6。若你在 CI、測試機、遠端桌面或開發容器中也安裝了這些軟體，也應一併確認版本。

CVE-2025-14324（嚴重度 CVSS 9.8）

影響

這個漏洞影響 Firefox 與 Thunderbird，問題在 JavaScript Engine 的 JIT 元件，屬於 JIT miscompilation。開發者如果使用 Firefox 測試前端頁面、執行瀏覽器端 JavaScript，或使用 Thunderbird 處理郵件，都應視為受影響。

該做什麼

請升級到 Firefox 146、Firefox ESR 115.31、Firefox ESR 140.6、Thunderbird 146 或 Thunderbird 140.6。若團隊有固定使用 ESR 版本，請特別確認是否已更新到對應的 ESR 修補版。

CVE-2025-14326（嚴重度 CVSS 9.8）

影響

這個漏洞影響 Firefox 與 Thunderbird，出現在 Audio/Video 的 GMP 元件中，屬於 use-after-free 問題。只要你的開發或測試環境中使用 Firefox 或 Thunderbird，就需要檢查是否已修補。

該做什麼

請升級到 Firefox 146 或 Thunderbird 146。若目前使用較舊版本，應儘快更新，避免把未修補的瀏覽器或郵件客戶端留在日常工作環境中。

CVE-2025-14330（嚴重度 CVSS 9.8）

影響

這個漏洞影響 Firefox 與 Thunderbird，問題同樣位於 JavaScript Engine 的 JIT 元件，屬於 JIT miscompilation。前端開發者、使用 Firefox 做瀏覽器測試的人，以及使用 Thunderbird 的開發者都應注意。

該做什麼

請升級到 Firefox 146、Firefox ESR 140.6、Thunderbird 146 或 Thunderbird 140.6。建議把開發機、測試機與自動化測試環境中的瀏覽器版本一起檢查，避免只更新主力電腦。

CVE-2025-66203（嚴重度 CVSS 9.9）

影響

這個漏洞影響 StreamVault。StreamVault 是影片下載整合方案；在 251126 之前版本中，管理員可透過 /admin/api/saveConfig 設定 yt-dlp arguments，但驗證不足，這些設定會被全域儲存，之後在 YtDlpUtil.java 組合命令列執行 yt-dlp 時使用，導致 Remote Code Execution（RCE）風險。

該做什麼

如果你有自架 StreamVault，請升級到已修補版本 251126。升級前，應避免讓不必要的人員存取管理功能，並檢查目前是否仍使用 251126 之前版本。

CVE-2025-54322（嚴重度 CVSS 10.0）

影響

這個漏洞影響 Xspeeder SXZOS through 2025-12-26，可透過 vLogin.py 的 chkid 參數中 base64 編碼的 Python code 造成 root 遠端程式碼執行；title 與 oIP 參數也會被使用。若你的環境中有 SXZOS，這是最高嚴重度風險。

該做什麼

請立即確認是否使用 Xspeeder SXZOS through 2025-12-26。若有使用，應依供應方資訊處理並降低暴露面；在未完成修補或替代措施前，不應把相關服務暴露給不必要的網路來源。

CVE-2025-69201（嚴重度 CVSS 9.8）

影響

這個漏洞影響 Tugtainer。Tugtainer 是用來自動更新 Docker containers 的自架工具；在 1.15.1 之前版本中，tugtainer-agent 的 POST api/command/run 可被注入任意 arguments。對有自架容器更新工具的開發者來說，這會影響容器維運環境。

該做什麼

請升級到 Tugtainer 1.15.1。若你的主機上使用 Tugtainer agent 管理 Docker containers，應優先檢查版本，並避免繼續使用 1.15.1 之前版本。

資料來源：NVD

• CVE-2025-14321：https://bugzilla.mozilla.org/show_bug.cgi?id=1992760、https://www.mozilla.org/security/advisories/mfsa2025-92/、https://www.mozilla.org/security/advisories/mfsa2025-94/
• CVE-2025-14324：https://bugzilla.mozilla.org/show_bug.cgi?id=1996840、https://www.mozilla.org/security/advisories/mfsa2025-92/、https://www.mozilla.org/security/advisories/mfsa2025-93/
• CVE-2025-14326：https://bugzilla.mozilla.org/show_bug.cgi?id=1840666、https://www.mozilla.org/security/advisories/mfsa2025-92/、https://www.mozilla.org/security/advisories/mfsa2025-95/
• CVE-2025-14330：https://bugzilla.mozilla.org/show_bug.cgi?id=1997503、https://www.mozilla.org/security/advisories/mfsa2025-92/、https://www.mozilla.org/security/advisories/mfsa2025-94/
• CVE-2025-66203：https://github.com/lemon8866/StreamVault/releases/tag/251226、https://github.com/lemon8866/StreamVault/security/advisories/GHSA-c747-q388-3v6m
• CVE-2025-54322：https://pwn.ai/blog/cve-2025-54322-zeroday-unauthenticated-root-rce-affecting-70-000-hosts、https://www.xspeeder.com
• CVE-2025-69201：https://github.com/Quenary/tugtainer/commit/dbb17d843e30fd7509acf0328c913dcb42f40831、https://github.com/Quenary/tugtainer/pull/88、https://github.com/Quenary/tugtainer/releases/tag/v1.15.1