每日高危漏洞速报 2026-04-25（8 条）
每日高危漏洞速报 · 2026-04-25
共收录 8 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述
当日收录 8 条漏洞，CVSS 评分普遍在 9.1 至 10.0 之间，全部为未修复或不涉及在野利用标记的高危条目，暂无 KEV 记录。风险集中在广泛使用的开发依赖与框架生态：Axios（含 10.0 满分条目）与 simple-git 影响面覆盖大量 Node.js 项目，Clerk 认证中间件绕过则直接冲击 Next.js、Nuxt、Astro 站点访问控制。此外，BridgeHead FileStore 因默认口令暴露管理模块，Linux 内核网络栈两处缺陷可致解析异常，建议优先排查对外服务与构建链路中的相关组件版本并尽快升级。
今日收录
- CVE-2026-42043 —
10.0— Axios 1.15.1、0.31.1 之前版本未过滤 127.0.0.0/8 目标地址，可被诱导发起本地请求。 - CVE-2026-39920 —
9.8— BridgeHead FileStore 24A 之前版本暴露 Axis2 管理模块且用默认口令，可未授权远程访问。 - CVE-2026-6951 —
9.8— simple-git 3.36.0 之前版本因旧漏洞修复不完整，仍可触发远程代码执行。 - CVE-2026-31685 —
9.4— Linux 内核 ip6t_eui64 未校验 MAC 头，构造报文可致越界解析。 - CVE-2026-41677 —
9.1— rust-openssl 0.10.78 之前 *_from_pem_callback 未校验回调长度，可致内存问题。 - CVE-2026-42044 —
9.1— Axios 1.15.2 之前版本存在原型污染 Gadget，可污染 Object.prototype 影响逻辑。 - CVE-2026-41248 —
9.1— Clerk 各框架适配包 createRouteMatcher 可被构造请求绕过，导致访问控制失效。 - CVE-2026-31682 —
9.1— Linux 内核 bridge 在解析 ND 选项前未线性化 skb，可致数据越界读取。