本期报告整理收录了2025年1月份至2025年4月份在攻防演练被红队利用最频繁且对企业危害较高的漏洞，包含了详细的漏洞基础信息、检测规则和修复方案，企业可根据自身资产信息进行针对性的排查、配置封堵策略和漏洞修复相关工作。
-
命令执行漏洞
涉及厂商：天融信上网行为管理系统、山石网科云鉴安全管理系统
- 远程代码执行
漏洞数量：3 个
- SQL 注入漏洞
漏洞数量：10 个
- 其他
漏洞数量：3
漏洞类型：任意文件读取，任意文件上传
涉及厂商：Vite、JeeWMS
|
|
|
|
|
|
FsConsoleService SQL 注入漏洞 |
|
|
NC65 NCC1811 NCC1903 NCC1909 NCC2005 |
|
|
|
|
|
|
系统命令执行漏洞 |
洞 |
|
|
|
洞 |
取漏洞 |
|
Vite 6.1.2 Vite 6.0.12 Vite 5.4.15 Vite 4.5.10 |
|
uploawAction.php SQL 注入漏洞 |
洞 |
|
|
|
|
洞 |
|
Vite 5.4.18 Vite 6.0.15 Vite 6.1.5 Vite 6.2.6 |
|
ECFileManageServlet 反序列化漏洞 |
洞 |
|
|
|
码执行漏洞 |
|
|
Tomcat <= 11.0.2 10.1.0-M1 <= Apache Tomcat <= 10.1.34 9.0.0.M1 <= Apache Tomcat <= 9.0.98 |
|
台 fi_message_receiver.asp x SQL 注入漏洞 |
洞 |
|
|
|
SQL 注入漏洞 |
|
|
|
|
件上传漏洞 |
传漏洞 |
|
|
|
管理系统 ClientSortLog.jsp SQL 注入漏洞 |
注入漏洞 |
|
系统 |
|
管理系统 updateorg.jsp SQL 注入 漏洞 |
注入漏洞 |
|
系统 |
|
合管理平台 GetClassValue 远程代 码执行漏洞 |
行漏洞 |
|
理平台 |
|
注入漏洞 |
洞 |
|
|
|
getMessageSettingAction命令执行 |
洞 |
|
|
|
注入漏洞 |
洞 |
|
|
|
searchCreatPlanList.do SQL 注入漏洞 |
洞 |
|
|
|
govdocumentmanager_j udge_receivenum SQL 注入漏洞 |
洞 |
|
|
斗象漏洞情报中心从漏洞描述、爆发时间、影响版本、检测规则和修复方案五个方面，对上述18个漏洞进行了详细解读，由于篇幅原因，本文不做详细展示，完整版报告：
链接: https://pan.baidu.com/s/1F-MKvpM48eouDkEz8Oi6Ug?pwd=scp4 提取码: scp4
原文始发于微信公众号（斗象智能安全）：2025攻防演练必修高危漏洞集合（1.0版）
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论