每日高危漏洞速报 2026-04-01（7 条）
每日高危漏洞速报 · 2026-04-01
共收录 7 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述
当日 7 条漏洞中,6 条为 CVSS 9.0 以上的严重缺陷,风险集中在客户端与框架层。最需优先处置的是 Google Dawn 的 CVE-2026-5281,该漏洞已确认在野利用,可导致远程代码执行。Chrome 同日修复的三处释放后重用漏洞影响 Android 与桌面全平台,均可被用于沙箱逃逸,建议尽快推送 146.0.7680.178 及以上版本。此外,HAPI FHIR 验证服务未授权接口与 WooCommerce 插件的权限校验失效,均无需认证即可利用,医疗与电商站点应优先排查。
今日收录
- CVE-2026-34243 —
9.8— wenxian 至 0.3.1 的 GitHub Actions 工作流误用 issue 评论等不可信输入,可被注入利用。 - CVE-2026-5288 —
9.6— Android 版 Chrome 146.0.7680.178 前 WebView 释放后重用,渲染进程被控后可逃逸沙箱。 - CVE-2026-5289 —
9.6— Chrome 146.0.7680.178 前 Navigation 释放后重用,需先控制渲染进程,可逃逸沙箱。 - CVE-2026-5290 —
9.6— Chrome 146.0.7680.178 前 Compositing 释放后重用,配合恶意 HTML 页面实现沙箱逃逸。 - CVE-2026-34361 —
9.3— HAPI FHIR 6.9.4 前的验证器 HTTP 服务暴露未授权 /loadIG 接口,可被远程滥用。 - CVE-2025-15484 —
9.1— WooCommerce 订单通知插件 3.6.3 前覆盖权限校验,未认证请求即获完整读写权限。 - CVE-2026-5281 —
0.0— Google Dawn 释放后重用,渲染进程被控后经恶意 HTML 页面执行任意代码。[KEV]