每日高危漏洞速报 2026-04-08（15 条）
每日高危漏洞速报 · 2026-04-08
共收录 15 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述 当日 15 条漏洞 CVSS 均在 9.1 以上，但无一标记为在野利用（KEV 均为 false），暂无已知攻击活动迹象。风险集中在三处：OpenSSL 出现两条（32 位平台堆溢出、AVX-512/VAES 下 AES-CFB128 越界读），影响面随基础库扩散；WordPress 生态占三条（Everest Forms 对象注入、Users manager 提权、字体 GDPR 插件任意文件上传），多为低门槛远程利用；Go 生态 jackc/pgx/v5 连报两条内存安全缺陷，服务端应用需优先跟进。此外 Flatpak 以 10.0 分居首，沙箱逃逸类问题应最快修补。
今日收录
- CVE-2026-34078 —
10.0— Flatpak 1.16.4 前 portal 未校验沙箱暴露路径，应用可控符号链接致沙箱逃逸。 - CVE-2025-52908 —
9.8— 三星 Exynos 多款移动/穿戴芯片 Wi-Fi 驱动错误处理 NL80211 数据，可致内存破坏。 - CVE-2026-33815 —
9.8— Go 驱动 jackc/pgx/v5 存在内存安全缺陷，连接恶意或异常 PostgreSQL 服务端可触发。 - CVE-2026-33816 —
9.8— jackc/pgx/v5 另一处内存安全漏洞，与上条同源组件，使用方需一并升级。 - CVE-2026-39397 —
9.8— payload-puck 0.6.23 前 /api/puck/* CRUD 端点未做鉴权，未授权即可读写数据。 - CVE-2026-31789 —
9.8— OpenSSL 32 位平台将超大 OCTET STRING 转十六进制时堆溢出，可致崩溃或执行。 - CVE-2026-3296 —
9.8— WordPress Everest Forms ≤3.4.3 反序列化表单条目元数据，可致 PHP 对象注入。 - CVE-2026-4003 —
9.8— WordPress Users manager–PN ≤1.1.15 授权逻辑缺陷，可任意更新用户 meta 提权。 - CVE-2026-3535 —
9.8— WordPress DSGVO Google Web Fonts GDPR 插件缺文件类型校验，可上传任意文件。 - CVE-2026-35580 —
9.1— Emissary 8.39.0 前 GitHub Actions 直接插值 workflow_dispatch 输入，致 shell 注入。 - CVE-2026-35573 —
9.1— ChurchCRM 6.5.3 前备份恢复功能存在路径穿越，已认证管理员可上传任意文件。 - CVE-2025-71058 —
9.1— Dual DHCP DNS Server 8.01 未校验上游 DNS 响应来源即缓存，可被投毒污染解析。 - CVE-2025-69515 —
9.1— JXL 9 寸车载安卓播放器 v12 接受伪造 GPS 信号，使设备上报错误定位。 - CVE-2026-34045 —
9.1— Podman Desktop 1.26.2 前暴露未认证 HTTP 服务，网络攻击者可远程触发敏感操作。 - CVE-2026-28386 —
9.1— OpenSSL 在 AVX-512+VAES 下加解密 AES-CFB128 部分分组时越界读取最多 15 字节。