每日高危漏洞速报 2026-04-22（17 条）
每日高危漏洞速报 · 2026-04-22
共收录 17 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述：当日共收录 17 条高价值漏洞，其中 2 条已确认在野利用（KEV）：Linux 内核 crypto 子系统 algif_aead 缺陷（CVE-2026-31431）与 Microsoft Defender 本地提权漏洞（CVE-2026-33825，该条评分数据尚未更新，暂显示为 0.0），应作为当日最高优先级的修补目标。Linux 内核条目多达 7 条，覆盖 ksmbd、ext4、iomap、dmaengine 与网卡驱动，涉及释放后重用、空指针解引用与无限循环等内存安全问题，建议按发行版公告统一升级内核。知名厂商产品中，Esri Portal for ArcGIS 两条 9.8 分权限校验缺陷、GitHub Enterprise Server 令牌越权以及 OAuth2 Proxy 反向代理场景下的请求头信任问题尤为突出。其余为 WordPress 插件授权绕过、AVideo 与 FreeScout 等开源应用，公开暴露面较大的实例应优先排查。
今日收录
- CVE-2026-33518 —
9.8— Esri Portal for ArcGIS 11.5 权限分配错误，高权限用户可创建越权开发者凭据 - CVE-2026-33519 —
9.8— Esri Portal for ArcGIS 11.4/11.5/12.0 开发者凭据权限校验不当致越权 - CVE-2026-6235 —
9.8— WordPress Sendmachine 插件 ≤1.0.20 经 manage_admin_requests 函数授权绕过 - CVE-2026-31436 —
9.8— Linux 内核 dmaengine idxd 描述符在 llist_abort_desc 中错误完成 - CVE-2026-31444 —
9.8— Linux 内核 ksmbd smb_grant_oplock 存在释放后重用与空指针解引用 - CVE-2026-31463 —
9.8— Linux 内核 iomap 在 i_blkbits 与 I/O 粒度不一致时非法访问 folio - CVE-2026-31478 —
9.8— Linux 内核 ksmbd 以硬编码长度计算输出缓冲区，边界计算错误 - CVE-2026-31501 —
9.8— Linux 内核 ti icssg-prueth 接收路径 CPPI 描述符释放后重用 - CVE-2026-5845 —
9.6— GitHub Enterprise Server 的 ghu_ 令牌授权不当，可越界访问私有仓库 - CVE-2026-31448 —
9.4— Linux 内核 ext4 在 mkdir/mknod 路径因残留数据陷入无限循环 - CVE-2026-41064 —
9.3— AVideo ≤29.0 test.php 修复不完整，file_get_contents/curl 仍可注入 - CVE-2026-40903 —
9.1— goshs <2.0.0-beta.6 存在 ArtiPACKED 漏洞，经工作流产物泄露 GITHUB_TOKEN - CVE-2026-40575 —
9.1— OAuth2 Proxy 7.5.0–7.15.1 在反向代理模式下信任 X-Forwarded-Uri 头 - CVE-2026-4119 —
9.1— WordPress Create DB Tables 插件 ≤1.2.1 的 admin_post 钩子缺少授权校验 - CVE-2026-40569 —
9.0— FreeScout <1.8.213 邮箱连接设置接口存在批量赋值漏洞 - CVE-2026-31431 —
7.8— Linux 内核 crypto algif_aead 回退为原地操作，AEAD 处理存在缺陷 [KEV] - CVE-2026-33825 —
0.0— Microsoft Defender 访问控制粒度不足，已授权攻击者可本地提升权限 [KEV]