每日高危漏洞速报 2026-04-10（8 条）
每日高危漏洞速报 · 2026-04-10
共收录 8 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述：当日收录 8 条高价值漏洞，CVSS 集中在 9 分以上，涉及 Apache Tomcat、Juniper、WordPress、Joomla 等广泛部署的产品，暴露面大、修复紧迫性高。最值得优先处理的是 Apache Tomcat 的 CVE-2026-34486，该漏洞已确认在野利用（KEV），攻击者可绕过 EncryptInterceptor 读取敏感数据。此外，Smart Slider 3 Pro 被植入远程控制后门，MetaGPT 与 MISP 存在命令执行和 LDAP 注入风险，建议对暴露在公网的相关实例先行排查处置。
今日收录
- CVE-2026-34486 —
7.5— Apache Tomcat 的 EncryptInterceptor 可被绕过，导致敏感数据未加密，已有在野利用。 [KEV] - CVE-2026-40089 —
9.9— Sonicverse 电台流媒体面板的 API 存在 SSRF，攻击者可借服务端发起任意请求。 - CVE-2026-5972 —
9.8— MetaGPT 0.8.1 及以下的 terminal 模块允许通过 run_command 执行操作系统命令。 - CVE-2026-33784 —
9.8— Juniper JSI vLWC 使用默认密码，未认证的远程攻击者可直接取得完全控制权。 - CVE-2026-34424 —
9.8— Smart Slider 3 Pro 3.5.1.35 的更新链被污染并植入后门，未认证攻击者可远程执行代码。 - CVE-2026-39962 —
9.6— MISP 2.5.36 之前版本的 LDAP 查询未做中和处理，未认证用户可实施 LDAP 注入。 - CVE-2026-39912 —
9.1— V2Board 与 Xboard 的登录接口会在响应体中泄露认证令牌，启用邮件登录即受影响。 - CVE-2026-29145 —
9.1— Apache Tomcat 关闭 soft fail 时，CLIENT_CERT 认证在某些场景下未按预期失败。