关于Node.js权限绕过漏洞（CVE-2023-23918）的安全预警
一、基本情况Node.js是一个开源、跨平台的 JavaScript 运行时环境。 二、漏洞描述Node.js 19.x、18.x、16.x 和 14.x 多个版本中由于权限控制不当，可以通过使用 process.mainModule.require()绕过Node.js权限策略并访问未授权的模块。该漏洞仅影响使用--experimental-policy 启用实验权限选项的用户。三、影响范围Node.js版本< 19.6.1Node.js版本< 18.14.1Node.js版本< 16.19.1Node.js版本< 14.21.3四、修复建议目前该漏洞已经...
关于泛微e-cology9 SQL注入漏洞的安全预警
一、基本情况泛微协同管理应用平台（e-cology）是一套兼具企业信息门户、知识文档管理、工作流程管理、人力资源管理、客户关系管理、项目管理、财务管理、资产管理、供应链管理、数据中心功能的企业大型协同管理平台，并可形成一系列的通用解决方案和行业解决方案。 二、漏洞描述近日，绿盟科技CERT监测发现泛微官方发布安全补丁，修复了一个SQL注入漏洞。由于泛微e-cology9中对用户输入的数据验证存在缺陷，未经身份验证的攻击...
关于Joomla未授权访问漏洞（CVE-2023-23752）的安全预警
一、基本情况Joomla是一套全球知名的内容管理系统（CMS），其使用PHP语言加上MySQL数据库所开发，可以在Linux、Windows、MacOSX等各种不同的平台上运行。 二、漏洞描述2月16日，Joomla官方发布安全公告，修复了Joomla! CMS中的一个未授权访问漏洞（CVE-2023-23752），目前该漏洞的细节及PoC/EXP已公开。Joomla! CMS 版本4.0.0 - 4.2.7中由于对web 服务端点访问限制不当，可能导致未授权访问Rest API，造成敏感信息泄露（如数据...
关于Apache Kafka Connect远程代码执行漏洞（CVE-2023-25194）的安全预警
一、基本情况Apache Kafka是一个分布式数据流处理平台，可以实时发布、订阅、存储和处理数据流。Kafka Connect是一种用于在kafka和其他系统之间可扩展、可靠的流式传输数据的工具。 二、漏洞描述2023年2月21日公司监测到Apache官方发布了Apache Kafka Connect远程代码执行漏洞风险通告。Apache Kafka是一个分布式数据流处理平台，可以实时发布、订阅、存储和处理数据流。Kafka Connect是一种用于在kafka和其他系统之间可扩展、...
关于Apple WebKit任意代码执行漏洞（CVE-2023-23529）的安全预警
一、 基本情况WebKit是一个开源的浏览器引擎，主要用于Safari，Dashboard，Mail和其他一些Mac OS X程序。WebKit还支持移动设备和手机，包括iPhone和Android手机都是使用WebKit作为浏览器的核心。二、 漏洞描述美创安全实验室监测发现Apple官方发布了Apple WebKit任意代码执行漏洞的风险通告，并表示已发现该漏洞被利用，漏洞编号：CVE-2023-23529，漏洞等级：高危。该漏洞存在于Apple WebKit中，是一个类型混淆漏洞，未经身份认...
关于多款Adobe产品信息泄露漏洞（CVE-2022-28244）的安全预警
一、基本情况Adobe Acrobat是一套PDF文件编辑和转换工具。Adobe Reader是一套PDF文档阅读软件。二、漏洞描述多款Adobe产品存在信息泄露漏洞，远程攻击者可利用此漏洞获取敏感信息。三、影响范围Adobe Acrobat DC (Continuous) <=22.001.20085Adobe Acrobat Reader DC (Continuous) <=22.001.20085Adobe Acrobat 2020 Classic 2020（Windows & macOS）<=20.005.30314Adobe Acrobat Reader 2020 Classic 2020（Windows & macOS）<...
关于Citrix ADC & Gateway远程代码执行漏洞（CVE-2022-27518）的安全预警
一、基本情况Citrix ADC和Gateway都是美国思杰（Citrix）公司的产品。Citrix Gateway是一套安全的远程接入解决方案，可提供应用级和数据级管控功能，以实现用户从任何地点远程访问应用和数据；Citrix ADC是一个全面的应用程序交付和负载平衡解决方案，用于实现应用程序安全性、整体可见性和可用性。二、漏洞描述12月13日，Citrix发布安全公告，修复了Citrix ADC 和 Citrix Gateway中的一个远程代码执行漏洞（CVE-2022-27518），...
关于Fortinet SSL VPN远程代码执行漏洞（CVE-2022-42475）的安全预警
一、基本情况Fortinet（飞塔）是一家全球知名的网络安全产品和安全解决方案提供商，其产品包括防火墙、防病毒软件、入侵防御系统和终端安全组件等。二、漏洞描述2022年12月13日，360CERT监测发现Fortinet发布了FortiOS SSL-VPN的风险通告，漏洞等级：高危，漏洞评分：9.3。Fortinet 已经监测到一个在野外利用此漏洞的实例三、影响范围组件影响版本安全版本FortiOS7.2.0~7.2.27.2.3FortiOS7.0.0~7.0.87.0.9FortiOS6.4.0~6.4.106....
