每日高危漏洞速报 2026-04-07（16 条）
每日高危漏洞速报 · 2026-04-07
共收录 16 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述 当日 16 条漏洞中仅 Apache ActiveMQ Classic 一条（CVE-2026-34197）确认在野利用，其 Jolokia JMX-HTTP 桥接暴露面广，应作为最高优先级排查项。三星 Exynos 系列芯片集中披露 4 条 9.x 漏洞（短信、Wi-Fi 驱动、L2 等），影响大量移动与穿戴设备，但需固件层修复，主要依赖厂商推送。Mozilla 一次性发布 3 条 Firefox/Thunderbird 内存安全缺陷，浏览器与邮件客户端用户应尽快升级至修复版本。此外 Bruno IDE 的 axios 供应链投毒、WordPress Ninja Forms 任意文件上传、以及 BentoML/LiteLLM 等 AI 基础设施组件漏洞，对开发与部署链路构成立即风险。
今日收录
- CVE-2025-54328 —
10.0— 三星 Exynos 移动/穿戴处理器与调制解调器短信模块漏洞，波及数十款芯片型号。 - CVE-2026-34841 —
9.8— Bruno IDE 3.2.1 之前受 axios npm 包供应链投毒影响，被植入隐藏后门。 - CVE-2026-34977 —
9.8— Aperi'Solve 3.1.3–3.2.0 上传 JPEG 时的可选密码参数未安全处理。 - CVE-2026-0740 —
9.8— WordPress Ninja Forms 文件上传插件全版本缺类型校验，可上传任意文件。 - CVE-2025-65115 —
9.8— 日立 JP1/IT Desktop Management 2 Windows 版 Manager 等组件存在 RCE。 - CVE-2026-5731 —
9.8— Firefox ESR 115.34/140.9、Thunderbird ESR 140.9 等版本内存安全缺陷。 - CVE-2026-5734 —
9.8— Firefox ESR 140.9、Thunderbird ESR 140.9 与 149.0.1 内存破坏漏洞。 - CVE-2026-5735 —
9.8— Firefox 149.0.1 与 Thunderbird 149.0.1 内存破坏，足以利用执行代码。 - CVE-2025-52909 —
9.8— 三星 Exynos Wi-Fi 驱动对 NL80211 处理不当，多款移动与穿戴芯片受影响。 - CVE-2025-62818 —
9.8— 三星 Exynos 处理器与 Modem 5123 等调制解调器组件存在安全缺陷。 - CVE-2026-35044 —
9.6— BentoML 1.4.38 之前 generate_containerfile() 生成 Dockerfile 时可被注入。 - CVE-2026-23818 —
9.6— HPE Aruba 私有 5G 核心网本地版 GUI 登录流程存在开放重定向。 - CVE-2026-35030 —
9.1— LiteLLM 1.83.0 之前启用 JWT 时 OIDC 缓存以 token 前缀为键，可越权。 - CVE-2025-58349 —
9.1— 三星 Exynos L2 模块漏洞，涉及多款移动处理器、穿戴与调制解调器。 - CVE-2026-35459 —
9.1— pyLoad 0.5.0b3.dev96 及更早版本存在 SSRF，前次修复校验不足。 - CVE-2026-34197 —
8.8— Apache ActiveMQ Classic 暴露 Jolokia JMX-HTTP 桥接，输入校验不当致代码注入。 [KEV]