每日高危漏洞速报 2026-04-09（8 条）
每日高危漏洞速报 · 2026-04-09
共收录 8 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述：当日收录的 8 条漏洞评分均在 9.0 以上，但都没有被标记为在野利用，整体风险集中在补丁滞后的客户端与自建服务组件上。Google Chrome 占据两席（Android 版媒体竞态、PrivateAI 释放后使用后实现沙箱逃逸），是普通终端用户最应优先更新的产品。WordPress 生态出现两个 9.8 分问题（插件任意文件上传与未授权 REST 接口导致远程代码执行），一旦被扫描器批量命中，极易沦为批量入侵入口；Axios 的 NO_PROXY 规范化缺陷则可能影响大量 Node.js 服务对本地回环请求的隔离假设。建议按 Chrome → WordPress 插件 → Axios/LXD/Nix/kcp 的顺序推进排查与修补。
今日收录
- CVE-2025-62718 —
9.9— Axios 1.15.0/0.31.0 之前未正确规范化主机名，NO_PROXY 校验可被回环地址绕过。 - CVE-2026-2942 —
9.8— WordPress ProSolution WP Client 插件文件上传函数缺类型校验，可上传任意文件。 - CVE-2026-5902 —
9.8— Chrome Android 147.0.7727.55 前媒体模块存在竞态，需先攻陷渲染进程方可篡改媒体元数据。 - CVE-2026-1830 —
9.8— WordPress Quick Playground ≤1.3.1 REST 接口授权不足，可导致远程代码执行。 - CVE-2026-5874 —
9.6— Chrome 147.0.7727.55 前 PrivateAI 释放后使用，诱导用户特定 UI 手势可逃逸沙箱。 - CVE-2026-39429 —
9.1— kcp 0.30.3/0.29.3 前缓存服务器由根分片直接对外暴露，缺乏访问隔离。 - CVE-2026-34177 —
9.1— LXD 4.12–6.7 低层选项拒绝列表漏掉 raw.apparmor 与 raw.qemu.conf，受限项目可绕过限制。 - CVE-2026-39860 —
9.0— Nix 针对 CVE-2024-27297 的修复不完整，可覆写构建进程可写文件。