每日高危漏洞速报 2026-03-20（14 条）
每日高危漏洞速报 · 2026-03-20
共收录 14 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述：当日 14 条漏洞中，5 条已被在野利用（KEV），且全部集中在 Apple 多平台内核/Safari、Craft CMS、Laravel Livewire 等广泛部署的组件上，应作为本轮最高优先级修补对象——其中 Craft CMS 与 Livewire 均可导致远程代码执行，风险最为直接。新收录漏洞以 9.8–9.9 分区间为主，涵盖 Exchange SSRF 提权、wolfSSL 堆溢出，以及 OpenWrt mdns 守护进程和 SiYuan 的多处输入处理缺陷。嵌入式设备（OpenWrt）、个人知识库（SiYuan）和容器编排平台（Chall-Manager、OpenClaw）构成次一级暴露面，建议按资产可达性排序处置。
今日收录
- CVE-2026-26137 —
9.9— Microsoft Exchange 服务端请求伪造，已认证攻击者可经网络提升权限。 - CVE-2026-32938 —
9.9— SiYuan 3.6.0 及以下，html2BlockDOM 接口可将粘贴 HTML 中 file:// 引用的本地文件复制入工作区。 - CVE-2026-32768 —
9.9— Chall-Manager 0.6.5 之前 NetworkPolicy 配置错误，攻击者可自实例横向移动。 - CVE-2026-4395 —
9.8— wolfSSL ECC 导入 x963 路径堆溢出，远程攻击者可越界写公钥缓冲区。 - CVE-2026-30871 —
9.8— OpenWrt 24.10.6/25.12.1 之前，mdns 守护进程解析问题字段存在栈溢出。 - CVE-2026-30872 —
9.8— OpenWrt 旧版本 mdns 守护进程 match_ipv6_addr 处理存在栈溢出。 - CVE-2026-32038 —
9.8— OpenClaw 2026.2.24 之前沙箱网络隔离可绕过，可信操作员能加入他容器网络命名空间。 - CVE-2026-4038 —
9.8— WordPress Aimogen Pro 插件缺能力校验，可任意调用函数并提权。 - CVE-2026-32749 —
9.1— SiYuan 3.6.0 及以下，两个导入接口按 multipart 文件名写入任意路径。 - CVE-2025-32432 —
0.0— Craft CMS 代码注入，远程攻击者可执行任意代码。 [KEV] - CVE-2025-54068 —
0.0— Laravel Livewire 代码注入，特定场景下未认证攻击者可远程命令执行。 [KEV] - CVE-2025-43510 —
0.0— Apple 多平台加锁缺陷，恶意应用可篡改进程间共享内存。 [KEV] - CVE-2025-43520 —
0.0— Apple 多平台经典缓冲区溢出，可致系统终止或写入内核内存。 [KEV] - CVE-2025-31277 —
0.0— Apple Safari 等处理恶意网页内容时缓冲区溢出，可致内存破坏。 [KEV]