每日高危漏洞速报 2026-04-17（3 条）
每日高危漏洞速报 · 2026-04-17
共收录 3 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述 当日收录的 3 条漏洞 CVSS 评分均在 9.0 以上，属于需优先处置的高危项，但均尚未标记为在野利用。最需警惕的是 WordPress Essentialplugin 全系插件被植入后门：插件被转售给恶意行为者，导致该供应链污染波及所有使用该插件的站点，影响范围无法靠版本号划定。Digital Knowledge KnowledgeDeliver 因 machineKey 硬编码，攻击者可绕过 ViewState 校验直接远程执行代码，属于典型的“配置缺陷即后门”场景，暴露在公网的部署应最先排查。思源笔记的 Mermaid 渲染配置过宽，则更多影响个人知识库这类终端侧场景。建议按插件后门清理、machineKey 轮换、思源升级的顺序推进修复。
今日收录
- CVE-2026-6443 —
9.8— WordPress Essentialplugin 全系插件被植入后门，所有版本受影响，属供应链污染。 - CVE-2026-5426 —
9.1— KnowledgeDeliver 旧版 ASP.NET/IIS machineKey 硬编码，可绕过 ViewState 校验实现远程代码执行。 - CVE-2026-40322 —
9.0— 思源笔记 3.6.3 及以下 Mermaid 以 loose 级别渲染，生成的 SVG 注入页面可致脚本执行。