cisa.gov | Bulletins 中文 关注 网络安全和基础设施安全局（CISA）的网站提供了大量关于保护关键基础设施和增强网络安全的信息。它为企业、政府机构和个人提供了资源，以了解和解决网络安全风险。主要特点包括威胁警报、安全最佳实践和如何应对事件的指导。该网站还提供了新兴威胁和漏洞的更新，以及帮助改善您组织安全态势的工具和服务。 Bulletins cisa.gov RSS feeds.feedburner.com cisa.gov | Bulletins 中文 RSS thenote.app
2026 年 5 月 25 日当周漏洞汇总 已报告多个高危漏洞，涉及多种产品，包括 MaxKB、WooCommerce Envato Affiliates 以及 Acrel Electrical 的 EEMS 企业电力运维云平台。MaxKB 漏洞允许未认证的攻击者触发 Webhook 并执行绑定任务；WooCommerce Envato Affiliates 漏洞允许访问未通过访问控制列表（ACL）适当限制的功能。Acrel Electrical 的 EEMS 企业电力运维云平台存在多个漏洞，包括 SQL 注入和路径遍历漏洞。其他报告存在漏洞的产品包括 AgataSoft Auto PingMaster，其包含基于栈的缓冲区溢出漏洞；以及 agno，其在 ClickHouse 向量数据库后端存在 SQL 注入漏洞。AiOPMSD Final 存在多个 SQL 注入漏洞，允许未认证的攻击者执行任意 SQL 查询。airjp73 rvf 库存在原型污染漏洞，允许攻击者设置运行中服务器进程 Object.prototype 上的任意属性。amir20 dozzle 库存在漏洞，允许攻击者向提供的 URL 发送 HTTP POST 请求，并携带由攻击者控制的请求头。Arjun Thakur 的 Duplicate Page and Post 存在 SQL 命令中特殊元素未适当中和的漏洞；auth0 的 auth0.js 存在漏洞，当提供精心构造的无效 ID 令牌时，可能使用有效的访问令牌不当返回用户配置文件信息。Autodesk 的 3ds Max 存在多个漏洞，包括越界写入和内存损坏漏洞。Avaiga 的 taipy 存在路径遍历漏洞，允许未认证的攻击者逃逸到预期的模块目录之外；B&R Industrial Automation GmbH 的 PPT30 操作系统存在资源分配无限制或节流漏洞。Babel 存在漏洞，可能导致其生成执行任意代码的输出代码；bentoml 的 BentoML 存在多个漏洞，包括允许恶意的 bento.yaml 文件将任意 Dockerfile 指令混入生成的 Dockerfile 中的漏洞。攻击者可利用这些漏洞获取未授权访问、执行任意代码或造成其他恶意影响。建议用户将受影响的产品更新至最新版本以缓解这些风险。这些漏洞的 CVSS 评分范围为 7.1 至 8.8，表明其严重程度较高。 Vulnerability Summary for the Week of May 25, 2026 cisa.gov +1
2026 年 5 月 18 日当周漏洞汇总 多种软件产品存在关键漏洞，使系统面临各种安全风险。10-Strike Network Inventory Explorer 和 Audiograbber 中存在基于栈的缓冲区溢出漏洞，可导致任意代码执行。10-Strike Network Scanner 也存在缓冲区溢出漏洞，允许执行代码。多款产品如 10Web Form Maker、SOGo Webmail 和 Smartshop 易受 SQL 注入攻击，可导致未经授权的数据访问和篡改。AWS 产品，包括 Amazon Braket SDK 和 Amazon Redshift Python 连接器，存在允许代码执行或数据泄露的漏洞。Kiro CLI 和 RabbitMQ AWS 分别存在任意工具执行和文件读取的风险。Typebot.io 是一款聊天机器人构建工具，存在多种漏洞，包括 SSRF 和 XSS，可导致凭证窃取和权限提升。LiteLLM 存在通过 API 密钥生成和用户角色修改导致的权限提升漏洞。Basamak DernekWeb 中存在跨站脚本（XSS）缺陷，可导致存储型 XSS 攻击。最后，在 Besen BS20 电动汽车充电站中发现了一个漏洞。 Vulnerability Summary for the Week of May 18, 2026 cisa.gov +1
2026 年 5 月 11 日当周漏洞汇总 提供的文本详细描述了多种软件产品中存在的高严重性漏洞。ACL Analytics 存在任意代码执行缺陷，攻击者可利用 EXECUTE 函数。GitBucket 存在与密钥令牌生成相关的未认证远程代码执行漏洞。WordPress 插件（包括 Peugeot Music 和 WP Super Edit）存在文件上传漏洞。电子商务系统 Systempay 存在弱加密问题，易受密钥暴力破解攻击。iDS6 DSSPro 可绕过 CAPTCHA 安全机制，libbabl 存在双重释放检测问题。Python jsonpickle 可通过反序列化实现远程代码执行。多款产品（包括 Zechat、Joomla! 扩展和 Nordex 风力涡轮机 Web 服务器）存在 SQL 注入漏洞。Atomic Alarm Clock 存在栈溢出问题，HS Brand Logo Slider 允许不受限制的文件上传。此外，VX Search 和 Allok 分割器也存在缓冲区溢出漏洞。 Vulnerability Summary for the Week of May 11, 2026 cisa.gov +1
2026 年 4 月 27 日当周漏洞摘要 已发现多种软件和硬件产品存在多个漏洞。OVMS3 3.3.005 在 canformat_gvret.cpp 中存在缓冲区溢出，可能导致拒绝服务或代码执行。腾达路由器（包括 W308R、W3002R 和 FH303/A300）存在 Cookie 会话弱点，允许进行 DNS 操纵。威视 E-office 10.0_20221201 之前的版本存在未经身份验证的任意文件上传漏洞。Synway SMG 网关管理系统在 RADIUS 配置中存在操作系统命令注入缺陷。Directorist Booking 和 Directorist Social Login 插件分别易受 SQL 注入和权限提升攻击。迈视 AIOT 摄像头使用具有弱密钥的默认 SSL 证书。AGL app-framework-main 存在 Zip Slip 路径遍历漏洞。Cannelloni v2.0.0 也存在缓冲区溢出问题。Carlson VASCO-B GNSS 接收机缺乏身份验证，允许进行未经授权的配置更改。此外，包括 Prime95、XATABoost CMS 在内的多种应用程序存在多种缓冲区溢出和代码执行漏洞。 Vulnerability Summary for the Week of April 27, 2026 cisa.gov +1
2025年8月25日当周漏洞摘要 SQL注入漏洞存在于1000projects在线项目报告提交和评估系统1.0中，允许远程攻击者操纵批次ID参数。 Yahoo！WebPlayer 2.0.6及以下版本受到反射型跨站脚本攻击（XSS）的影响。 WPMU Ldap身份验证5.0.1及以下版本存在跨站请求伪造（CSRF）漏洞，导致存储型XSS攻击。 Elementor表单的拖拽上传插件1.5.3及以下版本存在无限制文件上传漏洞，允许上传Web Shell。 Agiloft 28版本存在系统包通过不安全的HTTP下载和默认凭证可用于特权升级的漏洞。 Ai3的QbiCRMGateway存在通过相对路径遍历的任意文件读取漏洞。 Arista EOS平台可能接受恶意构造的UDP数据包，端口为3503。 Opinion Stage的投票、调查和测验生成器插件19.11.0及以下版本存在PHP本地文件包含漏洞。 Asterisk 20.15.2、21.10.2和22.5.2之前的版本存在由于SIP授权头处理不当导致的崩溃漏洞。 bPlugins的Tiktok Feed 1.0.21及以下版本存在缺失授权漏洞。 Vulnerability Summary for the Week of August 25, 2025 cisa.gov +1
2025年8月18日当周漏洞摘要 多个软件产品已经被确认存在严重漏洞。 VaulTLS 版本低于 0.9.1 存在身份验证绕过漏洞，允许使用空密码登录。 Elite Video Player 至 10.0.5 版本存在跨站脚本漏洞。 Ads.txt Guru Connect 至 1.1.1 版本易受跨站请求伪造攻击。 Audiobookshelf 2.6.0 至 2.26.3 版本存在 OpenID Connect 回调漏洞，可能导致账户被劫持。 Aiven-db-migrate 版本低于 1.0.7 含有 PostgreSQL 迁移中的特权升级漏洞。 BuddyPress XProfile Custom Image Field 至 3.0.1 版本允许路径遍历。 FunnelKit Automations 和 Funnel Builder 插件通过 shortcode 暴露敏感信息。 Pin WP 版本低于 7.2 允许上传危险类型的文件。 Eventin AI Powered Event Manager 至 4.0.37 版本存在服务器端请求伪造漏洞。 Ashlar-Vellum Cobalt 及相关产品，版本低于 12.6.1204.204，存在多个漏洞，可能导致任意代码执行由于不正确的文件解析。 AVEVA PI Integrator 允许认证用户持久化可执行文件。 NEX-Forms 至 9.1.3 版本易受跨站请求伪造攻击。 ZoloBlocks 至 2.3.2 版本存在 PHP 远程文件包含漏洞。 Belkin AX1800 版本 1.1.00.016 存在固件更新处理器漏洞。 Screenshot-desktop 版本低于 1.15.2 允许命令注入。 SEOPress for MainWP 至 1.4 版本存在 PHP 远程文件包含漏洞。 Oik 至 4.15.2 版本存在跨站脚本漏洞。 SureDash 至 1.0.3 版本存在不正确的权限分配漏洞。 Bravis User 和 Case Theme User 插件，版本分别为 1.0.0 和 1.0.3，存在身份验证绕过漏洞。 Centreon web 版本受到事件日志和元服务指标页面的 SQL 注入漏洞影响。 Caliris 至 1.5 版本和 Paid Member Subscriptions 至 2.15.4 版本存在 PHP 远程文件包含漏洞。 WP Webhooks 至 3.3.5 版本允许任意文件复制。 CM Map Locations 至 2.1.6 版本存在跨站脚本漏洞。 Vulnerability Summary for the Week of August 18, 2025 cisa.gov +1
2025年8月11日当周的漏洞摘要 多个关键漏洞已经公开披露，并且可能被利用。1000 Projects Sales Management System版本1.0受到多个SQL注入漏洞的影响，这些漏洞存在于多个PHP文件中，允许远程攻击。2100 Technology的官方文档管理系统存在身份验证绕过漏洞，允许未经身份验证的用户获取连接令牌并获得访问权限。NextGEN Gallery WordPress插件的助手存在目录删除漏洞，可能导致完全不可用。ABB产品，包括ASPECT和ABB AbilityTM zenon，存在多个问题，如代码注入、不正确保护的凭据、授权绕过和关键功能缺乏身份验证。Acato的WP REST Cache存在PHP远程文件包含漏洞。Adobe Commerce版本在特定补丁之前易受跨站请求伪造和存储跨站脚本攻击，可能导致特权升级和数据泄露。Adobe Commerce还面临不正确的输入验证，导致拒绝服务和不正确的授权，允许安全绕过。多个Adobe产品，包括Framemaker、Animate、Illustrator、InCopy和InDesign Desktop，存在多个内存损坏漏洞，如使用后释放、越界写入和缓冲区溢出。这些Adobe漏洞通常需要用户交互，通常通过打开恶意文件来实现任意代码执行。这些披露漏洞的总体严重性很高，CVSS评分范围很大。 Vulnerability Summary for the Week of August 11, 2025 cisa.gov +1
2025年8月4日当周漏洞摘要 Adobe Experience Manager 6.5.23 及更早版本存在配置错误漏洞，允许任意代码执行和 XXE，导致文件系统读取。ADOdb 版本 5.22.9 及以下版本在与 SQLite 一起使用时，特定方法存在 SQL 注入漏洞。Eventin WordPress 插件（最高 4.0.34 版本）允许通过账户接管进行权限提升。Autodesk 3ds Max 由于越界写入和内存损坏，容易受到由恶意制作的 RBG 和 TGA 文件导致的任意代码执行。Belkin F9K1009 和 F9K1010 版本 2.00.04/2.00.09 在其 Web 界面中包含关键的硬编码凭据。Burk Technology ARC Solo 设备允许未经身份验证的攻击者更改管理员密码。react-native-bottom-tabs 库（最高 0.9.2 版本）存在工作流漏洞，可导致任意代码执行和敏感信息泄露。GLPI-screenshot-plugin 低于 2.0.2 的版本允许已通过身份验证的用户泄露文件或使用 PHP 包装器。CesiumLab Web 最高 4.0 版本在其 lodmodels 组件中存在关键的 SQL 注入漏洞。CleverReach WP 插件（最高 1.5.20 版本）通过 'title' 参数易受基于时间的 SQL 注入攻击。Code-projects Online Medicine Guide 1.0 和 Simple Art Gallery 1.0 都存在关键的 SQL 注入漏洞。CODESYS Control RTE (SL) 允许低权限攻击者读取和写入证书和密钥，并且还存在 NULL 指针解引用漏洞。Cursor 代码编辑器低于 1.3.9 的版本允许攻击者未经授权写入工作区文件，可能导致 RCE。Assemblyline 4 Service Client（4.6.1.dev138 版本之前）存在路径遍历漏洞。LibreChat 版本 0.0.6 至 0.7.7-rc1 暴露了一个测试端点，允许任意聊天读取。DELMIA Apriso 2020 至 2025 版本存在缺少授权和代码注入漏洞。Dell Avamar 19.12 版本之前存在服务器端信任 HTTP 权限方法漏洞。Dell Digital Delivery 5.6.1.0 版本之前存在凭据保护不足的问题。Dell ECS 3.8.1.5 版本之前和 ObjectScale 4.0.0.0 版本使用硬编码的加密密钥。Dell Enterprise SONiC OS 4.5.0 版本在 SSH 中存在加密密钥漏洞。Dell PowerProtect Data Domain 和 DD OS 版本存在通过伪造进行身份验证绕过漏洞。 Vulnerability Summary for the Week of August 4, 2025 cisa.gov +1
2025年4月7日当周漏洞概要 列出的漏洞影响各种软件和硬件，范围从工业设备到网络应用程序和插件。SENTRON 7KT PAC1260数据管理器中的多个漏洞允许远程代码执行。Fortinet FortiSwitch GUI漏洞允许未经身份验证的密码更改。工业边缘设备套件版本存在身份验证绕过漏洞。TOTVS框架漏洞允许绕过多因素身份验证。Yii 2版本（早于2.0.52）存在行为附件处理不当的问题。Simple WP Events插件容易受到任意文件删除攻击。联发科软件开发套件存在越界写入漏洞。RUoYi v.4.8.0中的众多漏洞允许权限提升。还发现了许多其他漏洞，包括SQL注入、访问控制不当以及不同产品中的默认密码问题。 Vulnerability Summary for the Week of April 7, 2025 cisa.gov +1
2025年3月31日当周漏洞概要 这段文本总结了在各种软件产品中发现的几个高危漏洞。这些漏洞包括跨站请求伪造 (CSRF)、SQL 注入、远程代码包含和权限提升。Aboobacker 的 AB Google Map Travel 和 AdminGeekZ 的 Varnish WordPress 受 CSRF 影响。adamskaat 的 Countdown & Clock 存在路径遍历漏洞，其 WordPress 插件存在本地文件包含问题。Ads by WPQuads 容易受到 SQL 注入和缺少授权检查的影响。ageerle 的 ruoyi-ai 存在不正确的授权问题，可以被远程利用。aitool 的内容写作助手容易受到盲注 SQL 注入的攻击。Aiven-extras 存在权限提升漏洞，允许成为超级用户。苹果的 macOS 和 iPadOS 存在多个漏洞，包括沙盒逃逸、内存损坏和权限提升，这些漏洞已在最近的更新中得到解决。AMD Ryzen AI Software 存在整数溢出问题和不正确的默认权限。Alex Prokopenko 的 Just Post Preview Widget 存在 PHP 本地文件包含漏洞，Angelo Mandato 的 Blubrry PowerPress 插件存在跨站脚本漏洞。 Vulnerability Summary for the Week of March 31, 2025 cisa.gov +1
