每日高危漏洞速报 2026-04-14（5 条）
每日高危漏洞速报 · 2026-04-14
共收录 5 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述
当日共收录 5 条漏洞，其中 2 条已被标记为在野利用，风险最为紧迫：Microsoft SharePoint Server 的输入验证缺陷可让未授权攻击者远程实施欺骗；早已披露的 Excel 远程代码执行漏洞仍存在实际利用，说明遗留补丁缺口尚未弥合。另有 3 条 CVSS 9.1 的高危漏洞集中在广泛使用的开源组件上，包括 WordPress LearnPress 插件、Apache APISIX 和 PraisonAI。其中 APISIX 的请求头注入可能绕过前置认证边界，与 LearnPress 的未授权数据删除一样，属于低门槛、可批量利用的类型，建议优先处置 KEV 条目，并核查对外暴露的 APISIX 与 WordPress 实例。
今日收录
- CVE-2026-4365 —
9.1— WordPress LearnPress 插件 4.3.2 及以下 delete_question_answer() 缺少权限校验，未授权者可删除数据。 - CVE-2026-40313 —
9.1— PraisonAI 4.5.139 及以下 GitHub Actions 工作流受 ArtiPACKED 攻击影响，导致凭证泄露。 - CVE-2026-31908 —
9.1— Apache APISIX 2.1 起 forward-auth 插件在特定配置下可被注入恶意请求头。 - CVE-2009-0238 —
0.0— Microsoft Office Excel 打开特制文件即可触发远程代码执行，攻击者可完全控制系统。[KEV] - CVE-2026-32201 —
0.0— Microsoft SharePoint Server 输入验证不当，未授权攻击者可经网络实施欺骗。[KEV]