每日高危漏洞速报 2026-04-23（3 条）
每日高危漏洞速报 · 2026-04-23
共收录 3 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述
当日收录 3 条高价值漏洞，最值得警惕的是 Marimo 的预授权远程代码执行（CVE-2026-39987）：该漏洞无需认证即可利用，且已确认在野利用，应列入最高优先级处置。另两条虽未发现在野活动，但分别涉及 WordPress 生态插件任意文件上传（9.8）与 Jellystat 多处 SQL 注入（9.1），攻击面广、利用门槛低，同样需尽快跟进。综合看，公网可访问的 Web 应用及其插件仍是当日主要风险来源。
今日收录
- CVE-2026-3844 —
9.8— WordPress Breeze Cache 插件至 2.4 版 fetch_gravatar_from_remote 缺文件类型校验，可任意上传文件。 - CVE-2026-41167 —
9.1— Jellystat 1.1.10 之前多个 API 将请求体字段直接拼接进 SQL，导致注入。 - CVE-2026-39987 —
0.0— Marimo 存在预授权 RCE，未认证攻击者可获取 shell 并执行任意系统命令。 [KEV]