(20220613-20220619)
一、境外廠商產(chǎn)品漏洞
1、WordPress UpdraftPlus WordPress Backup plugin跨站腳本漏洞
WordPress是Wordpress基金會的一套使用PHP語言開發(fā)的博客平臺。該平臺支持在PHP和MySQL的服務(wù)器上架設(shè)個人博客網(wǎng)站。WordPress plugin是WordPress開源的一個應(yīng)用插件。WordPress UpdraftPlus WordPress Backup plugin存在跨站腳本漏洞，攻擊者可利用該漏洞注入JavaScript并執(zhí)行存儲的XSS攻擊。
參考鏈接：https://www.cnvd.org.cn/flaw/show/CNVD-2022-44958
2、IGSS (Interactive Graphical SCADA System) 存在二進(jìn)制漏洞
IGSS (Interactive Graphical SCADA System) 是施耐德公司旗下的一款工業(yè)控制SCADA系統(tǒng)，被用在電力 、污水處理、制造等多個領(lǐng)域。IGSS (Interactive Graphical SCADA System) 存在二進(jìn)制漏洞，攻擊者可利用該漏洞造成拒絕服務(wù)攻擊。
參考鏈接：https://www.cnvd.org.cn/flaw/show/CNVD-2022-38333
3、SIEMENS SCALANCE XM-400和XR-500 OSPF數(shù)據(jù)包處理漏洞
SCALANCE X交換機(jī)用于連接工業(yè)組件，例如可編程邏輯控制器 (PLC) 或人機(jī)界面 (HMI)。SIEMENS SCALANCE XM-400和XR-500存在OSPF數(shù)據(jù)包處理漏洞，該漏洞源于設(shè)備中的OSPF協(xié)議實施未驗證OSPF LS更新消息中的校驗和和長度字段，攻擊者可利用該漏洞通過發(fā)送特制的OSPF數(shù)據(jù)包來導(dǎo)致網(wǎng)絡(luò)中斷。
參考鏈接：https://www.cnvd.org.cn/flaw/show/CNVD-2022-45235
4、Google Chrome資源管理錯誤漏洞(CNVD-2022-44720)
Google Chrome是美國谷歌(Google)公司的一款Web瀏覽器。Google Chrome存在資源管理錯誤漏洞，遠(yuǎn)程攻擊者可利用該漏洞通過破壞配置文件來潛在地利用堆損壞。
參考鏈接：https://www.cnvd.org.cn/flaw/show/CNVD-2022-44720
5、Siemens Xpedition Designer本地權(quán)限提升漏洞
Xpedition Enterprise是一款PCB設(shè)計流程，提供從系統(tǒng)設(shè)計定義到制造執(zhí)行的集成。Siemens Xpedition Designer存在本地權(quán)限提升漏洞，該漏洞源于受影響的應(yīng)用程序向服務(wù)可執(zhí)行文件分配了錯誤的訪問權(quán)限，攻擊者可利用該漏洞注入任意代碼并提升權(quán)限。
參考鏈接：https://www.cnvd.org.cn/flaw/show/CNVD-2022-45209
二、境內(nèi)廠商產(chǎn)品漏洞
1、禪道存在SQL注入漏洞
禪道是一款國產(chǎn)的開源項目管理軟件。禪道存在SQL注入漏洞。攻擊者可利用漏洞獲取數(shù)據(jù)庫敏感信息。
參考鏈接：https://www.cnvd.org.cn/flaw/show/CNVD-2022-42853
2、CSCMS Music Portal System SQL注入漏洞(CNVD-2022-45402)
CSCMS Music Portal System是中國崇勝網(wǎng)絡(luò)科技(CSCMS)公司的一個多元化內(nèi)容管理系統(tǒng)。CSCMS Music Portal System存在SQL注入漏洞，該漏洞源于/admin.php/user/level_del中的id參數(shù)缺少對外部輸入SQL語句的驗證。攻擊者可利用該漏洞執(zhí)行非法SQL命令竊取數(shù)據(jù)庫敏感數(shù)據(jù)。
參考鏈接：https://www.cnvd.org.cn/flaw/show/CNVD-2022-45402
3、CSCMS Music Portal System SQL注入漏洞
CSCMS Music Portal System是中國崇勝網(wǎng)絡(luò)科技(CSCMS)公司的一個多元化內(nèi)容管理系統(tǒng)。CSCMS Music Portal System存在SQL注入漏洞，該漏洞源于/admin.php/vod/admin/topic/del中的id參數(shù)缺少對外部輸入SQL語句的驗證。攻擊者可利用該漏洞執(zhí)行非法SQL命令竊取數(shù)據(jù)庫敏感數(shù)據(jù)。
參考鏈接：https://www.cnvd.org.cn/flaw/show/CNVD-2022-45395
4、D-Link DIR-816 A2命令注入漏洞(CNVD-2022-45933)
D-Link DIR-816 A2是中國臺灣友訊(D-Link)公司的一款無線路由器。D-Link DIR-816 A2存在命令注入漏洞，該漏洞源于/goform/setSysAdm中的admuser和admpass參數(shù)未能正確過濾構(gòu)造命令特殊字符、命令等。攻擊者可利用該漏洞通過精心設(shè)計的負(fù)載將權(quán)限提升到root。
參考鏈接：https://www.cnvd.org.cn/flaw/show/CNVD-2022-45933
5、Tenda HG6命令注入漏洞
Tenda HG6是中國騰達(dá)(Tenda)公司的智能路由無源光網(wǎng)絡(luò)終端。Tenda HG6存在命令注入漏洞，該漏洞源于pingAddr 和 traceAddr參數(shù)未能正確過濾構(gòu)造命令特殊字符、命令等。攻擊者可利用該漏洞導(dǎo)致任意命令執(zhí)行。
參考鏈接：https://www.cnvd.org.cn/flaw/show/CNVD-2022-46164
說明：關(guān)注度分析由CNVD秘書處根據(jù)互聯(lián)網(wǎng)用戶對CNVD漏洞信息查閱情況以及產(chǎn)品應(yīng)用廣泛情況綜合評定。
來源：國家信息安全漏洞共享平臺
