每日高危漏洞速报 2026-04-20（6 条）
每日高危漏洞速报 · 2026-04-20
共收录 6 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述
当日 6 条收录中 5 条标记为已被在野利用，风险重心明显偏向实际攻击而非潜在威胁。受影响产品覆盖 PaperCut、Zimbra、JetBrains TeamCity、Quest KACE SMA、Kentico Xperience 等企业常用系统，涉及认证绕过、路径遍历与 XSS 等可直接触达的攻击面，应作为当日优先修补对象。其中 PaperCut 与 TeamCity 的认证与路径问题利用门槛低、影响面广，建议立即核查暴露情况。Apache Kafka 一条虽无在野记录，但评分高达 9.1，涉及默认 JWT 校验配置，同样值得关注。
今日收录
- CVE-2026-33557 —
9.1— Apache Kafka 默认 JWT 校验类配置存在安全隐患，可能影响 broker 认证校验。 - CVE-2025-2749 —
0.0— Kentico Xperience 路径遍历，已认证用户的 Staging Sync Server 可向相对路径写入任意数据。[KEV] - CVE-2023-27351 —
0.0— PaperCut NG/MF 认证不当，远程攻击者可经 SecurityRequestFilter 绕过认证。[KEV] - CVE-2025-48700 —
0.0— Synacor Zimbra 协作套件存在 XSS，可在用户会话内执行任意 JavaScript。[KEV] - CVE-2025-32975 —
0.0— Quest KACE SMA 认证不当，攻击者无需有效凭据即可冒充合法用户。[KEV] - CVE-2024-27199 —
0.0— JetBrains TeamCity 相对路径遍历，可执行受限的管理操作。[KEV]