CNVD漏洞平台 https://wechat2rss.xlab.app/feed/edf17c7a01a7152b7a1ca14133258dc4abc1ca61.xml 国家信息安全漏洞共享平台（China National Vulnerability Database）是由国家计算机网络应急技术处理协调中心联合重要信息系统单位、基础电信运营商、网络安全厂商、软件厂商和互联网企业建立的国家网络安全漏洞库。 (wechat feed made by @ttttmr https://wechat2rss.xlab.app) (CNVD漏洞平台) Mon, 18 May 2026 17:50:43 +0800 Mon, 18 May 2026 17:50:43 +0800 https://wx.qlogo.cn/mmhead/Q3auHgzwzM4Feicia15peMqhiakNKwwYia1jf7VRCsgbvzMKK6yMty7jEg/0 CNVD漏洞平台 https://wechat2rss.xlab.app/feed/edf17c7a01a7152b7a1ca14133258dc4abc1ca61.xml CNVD漏洞周报2026年第19期 https://mp.weixin.qq.com/s?__biz=MzU3ODM2NTg2Mg==&mid=2247496945&idx=1&sn=9cc7d733d3a25ee42b4046331ef2bb81 国家信息安全漏洞共享平台（以下简称CNVD）本周共收集、整理信息安全漏洞501个，其中高危漏洞279个、中危漏洞174个、低危漏洞48个。 原创 CNVD 2026-05-18 17:50 北京

国家信息安全漏洞共享平台（以下简称CNVD）本周共收集、整理信息安全漏洞501个，其中高危漏洞279个、中危漏洞174个、低危漏洞48个。

2026年05月11日-2026年05月17日

本周漏洞态势研判情况

本周信息安全漏洞威胁整体评价级别为中。

国家信息安全漏洞共享平台（以下简称CNVD）本周共收集、整理信息安全漏洞501个，其中高危漏洞279个、中危漏洞174个、低危漏洞48个。漏洞平均分值为6.55。本周收录的漏洞中，涉及0day漏洞411个（占82%），其中互联网上出现“XATABoost CMS SQL注入漏洞、School Intramurals Student Attendance Management System SQL注入漏洞”等零日代码攻击漏洞。本周CNVD接到的涉及党政机关和企事业单位的漏洞总数7930个，与上周（7101个）环比增加12%。

‍图1CNVD收录漏洞近10周平均分值分布图

图2CNVD 0day漏洞总数按周统计

本周漏洞事件处置情况

本周，CNVD向银行、保险、能源等重要行业单位通报漏洞事件6起，向基础电信企业通报漏洞事件5起，协调CNCERT各分中心验证和处置涉及地方重要部门漏洞事件271起，协调教育行业应急组织验证和处置高校科研院所系统漏洞事件26起，向国家上级信息安全协调机构上报涉及部委门户、子站或直属单位信息系统漏洞事件35起。

图3CNVD各行业漏洞处置情况按周统计

图4CNCERT各分中心处置情况按周统计

图5CNVD教育行业应急组织处置情况按周统计

此外，CNVD通过已建立的联系机制或涉事单位公开联系渠道向以下单位通报了其信息系统或软硬件产品存在的漏洞，具体处置单位情况如下所示：

重庆梅安森科技股份有限公司、众勤通信设备贸易（上海）有限公司、中兴通讯股份有限公司、中磊电子股份有限公司、中控技术股份有限公司、中电科金仓（北京）科技股份有限公司、郑州意象网络科技有限公司、郑州市金水区恒友摄影软件经营部、浙江兰德纵横网络技术股份有限公司、云南链滴科技有限公司、宇树科技股份有限公司、友讯电子设备（上海）有限公司、研华科技（中国）有限公司、西安众邦网络科技有限公司、西安图安云算信息科技有限公司、武汉天地伟业科技有限公司、武汉舜通智能科技有限公司、武汉达梦数据库有限公司、网是科技股份有限公司、万洲电气股份有限公司、同望科技股份有限公司、天津黑核科技有限公司、苏州酷曼软件技术有限公司、四川迅睿云软件开发有限公司、神州数码控股有限公司、深圳誉龙数字技术有限公司、深圳市友华通信技术有限公司、深圳市亿玛信诺科技有限公司、深圳市思迅软件股份有限公司、深圳市联软科技股份有限公司、深圳市蓝凌软件股份有限公司、深圳市吉祥腾达科技有限公司、深圳市和为顺网络技术有限公司、深圳市顶讯科技有限公司、深圳市必联电子有限公司、申江万国数据信息股份有限公司、上海卓卓网络科技有限公司、上海卓亮信息科技有限公司、上海正品贵德软件有限公司、上海易立德信息技术股份有限公司、上海韦纳软件科技有限公司、上海首信信息科技有限公司、上海锐昉科技有限公司、上海慧寻网络科技有限公司、上海华测导航技术股份有限公司、上海海典软件股份有限公司、上海必智科技有限公司、上海艾泰科技有限公司、熵基科技股份有限公司、山东比特智能科技股份有限公司、厦门四信通信科技有限公司、睿因科技（深圳）有限公司、青岛东胜伟业软件有限公司、麒麟软件有限公司、普联技术有限公司、南京云网汇联软件技术有限公司、南京毅成达信息技术有限公司、绿能慧充数字技术有限公司、廊坊市极致网络科技有限公司、精华教育科技股份有限公司、江西铭软科技有限公司、江苏麦克思软件有限公司、江苏高科物流科技股份有限公司、江华瑶族自治县觅道网络科技工作室、济南有人物联网技术有限公司、吉祥腾达科技有限公司、惠普贸易（上海）有限公司、湖北云雷信息技术有限公司、河南天筑大数据有限公司、合肥六出网络科技有限公司、杭州云天软件股份有限公司、杭州海康威视数字技术股份有限公司、杭州飞致云信息科技有限公司、杭州白书科技有限公司、杭州安恒信息技术股份有限公司、贵州小码科技有限公司、贵阳思普信息技术有限公司、广州思迈特软件有限公司、广州千企智能技术有限公司、广西海豚有海信息科技有限公司、广东品胜电子股份有限公司、广东保伦电子股份有限公司、福州银达云创信息科技有限公司、东芝（中国）有限公司、大连华天软件有限公司、成都信通网易医疗科技发展有限公司、成都分智信息技术有限公司、畅捷通信息技术股份有限公司、布兰图智慧科技有限公司、北京长京益康信息科技有限公司、北京云帆互联科技有限公司、北京亿赛通科技发展有限责任公司、北京亚控科技发展有限公司、北京星网锐捷网络技术有限公司、北京天威诚信电子商务服务有限公司、北京搜狗信息服务有限公司、北京硕人时代科技股份有限公司、北京神州视翰科技有限公司、北京趋势威尔网络技术有限公司、北京巧巧时代网络科技有限公司、北京凯特伟业科技有限公司、北京金和网络股份有限公司、北京宏景世纪软件股份有限公司、北京国炬信息技术有限公司、北京春田知韵科技有限公司、北京百容千域软件技术开发有限责任公司、北京百度网讯科技有限公司、北京奥博威斯科技有限公司、安美微客（上海）互联网科技有限公司、安吉加加信息技术有限公司和艾诺斯（扬州）华达电源系统有限公司。

本周，CNVD发布了《关于部分智能体技能包（Skills）存在隐蔽执行恶意命令的安全公告》，详情参见CNVD网站公告内容（https://www.cnvd.org.cn/webinfo/show/12366）。

本周漏洞报送情况统计

本周报送情况如表1所示。其中，新华三技术有限公司、安天科技集团股份有限公司、华为技术有限公司、深信服科技股份有限公司、南京众智维信息科技有限公司等单位报送公开收集的漏洞数量较多。联想集团、成都卫士通信息安全技术有限公司、亚信科技（成都）有限公司、河南东方云盾信息技术有限公司、大庆油田有限责任公司数智技术公司网络安全分公司、平安银河实验室、建信金科网络攻击实验室、成都久信信息技术股份有限公司、成都栖云数安科技有限责任公司、湖南泛联新安信息科技有限公司、吉林省吉林祥云信息技术有限公司、江苏力可信网络科技有限公司、交通运输部北海航海保障中心、山西护网信息科技有限公司、江苏金盾检测技术股份有限公司、中国移动通信集团西藏有限公司、重庆市通信产业服务有限公司智博创为网安分公司、国家能源投资集团有限责任公司及其他个人白帽子向CNVD提交了7930个以事件型漏洞为主的原创漏洞，其中包括奇安信网神（补天平台）、斗象科技（漏洞盒子）、上海交大和三六零数字安全科技集团有限公司向CNVD共享的白帽子报送7206条原创漏洞信息。

表1漏洞报送情况统计表

本周漏洞按类型和厂商统计

本周，CNVD收录了501个漏洞。WEB应用235个，应用程序164个，网络设备（交换机、路由器等网络端设备）55个，操作系统31个，智能设备（物联网终端设备）9个，数据库5个，安全产品2个。

表2漏洞按影响类型统计表

图6本周漏洞按影响类型分布

CNVD整理和发布的漏洞涉及北京金和网络股份有限公司、Microsoft、北京神州视翰科技有限公司等多家厂商的产品，部分漏洞数量按厂商统计如表3所示。

表3漏洞产品涉及厂商分布统计表

本周行业漏洞收录情况

本周，CNVD收录了4个电信行业漏洞，1个移动互联网行业漏洞，1个工控行业漏洞（如下图所示）。其中，“D-Link DIR-X3260栈溢出漏洞（CNVD-2026-19785）、Apple iOS and iPadOS验证问题漏洞”等漏洞的综合评级为“高危”。相关厂商已经发布了漏洞的修补程序，请参照CNVD相关行业漏洞库链接。

电信行业漏洞链接：http://telecom.cnvd.org.cn/

移动互联网行业漏洞链接：http://mi.cnvd.org.cn/

工控系统行业漏洞链接：http://ics.cnvd.org.cn/

图7电信行业漏洞统计

图8移动互联网行业漏洞统计

图9工控系统行业漏洞统计

本周重要漏洞安全告警

本周，CNVD整理和发布以下重要安全漏洞信息。

1、Microsoft产品安全漏洞

Microsoft Excel是美国微软（Microsoft）公司的一款Office套件中的电子表格处理软件。Microsoft Azure IoT Explorer是一个用于与连接到Azure IoT中心的设备进行交互的图形化工具，特别适用于测试和调试IoT Plug and Play设备。Microsoft Azure MCP Server Tools是一组基于自然语言交互的工具集，用于简化对Azure云服务的管理和操作。Microsoft Graphics Component是美国微软（Microsoft）公司的图形驱动组件。Microsoft Azure Compute Gallery是美国Microsoft公司的一个管理虚拟机的服务。Microsoft Windows Shell是美国微软（Microsoft）公司的Windows操作系统的图形用户界面。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞绕过某些功能，提升权限，执行代码等。

CNVD收录的相关漏洞包括：Microsoft Excel资源管理错误漏洞（CNVD-2026-19776）、Microsoft Azure IoT Explorer信息泄漏漏洞、Microsoft Azure MCP Server Tools权限提升漏洞、Microsoft Graphics Component代码执行漏洞（CNVD-2026-19777）、Microsoft Azure IoT Explorer信息泄漏漏洞（CNVD-2026-19782、CNVD-2026-19781）、Microsoft Azure Compute Gallery命令注入漏洞、Microsoft Windows Shell安全功能绕过漏洞。上述漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-19776

https://www.cnvd.org.cn/flaw/show/CNVD-2026-19780

https://www.cnvd.org.cn/flaw/show/CNVD-2026-19779

https://www.cnvd.org.cn/flaw/show/CNVD-2026-19777

https://www.cnvd.org.cn/flaw/show/CNVD-2026-19782

https://www.cnvd.org.cn/flaw/show/CNVD-2026-19781

https://www.cnvd.org.cn/flaw/show/CNVD-2026-19783

https://www.cnvd.org.cn/flaw/show/CNVD-2026-20179

2、Google产品安全漏洞

Google Chrome是美国谷歌（Google）公司的一款Web浏览器。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞通过特制HTML页面执行越界内存读取，诱使用户访问特制的HTML页面，并结合已攻陷的渲染器进程，潜在地实现沙箱逃逸，诱骗用户安装恶意扩展程序，并构造特定的Chrome扩展来触发堆损坏，从而执行任意代码或导致程序崩溃等。

CNVD收录的相关漏洞包括：Google Chrome缓冲区溢出漏洞（CNVD-2026-19769，CNVD-2026-19768，CNVD-2026-19766，CNVD-2026-19772，CNVD-2026-19771，CNVD-2026-19770，CNVD-2026-19774）、Google Chrome输入验证错误漏洞（CNVD-2026-19767）。上述漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-19769

https://www.cnvd.org.cn/flaw/show/CNVD-2026-19768

https://www.cnvd.org.cn/flaw/show/CNVD-2026-19767

https://www.cnvd.org.cn/flaw/show/CNVD-2026-19766

https://www.cnvd.org.cn/flaw/show/CNVD-2026-19772

https://www.cnvd.org.cn/flaw/show/CNVD-2026-19771

https://www.cnvd.org.cn/flaw/show/CNVD-2026-19770

https://www.cnvd.org.cn/flaw/show/CNVD-2026-19774

3、Adobe产品安全漏洞

Adobe Framemaker是美国奥多比（Adobe）公司的一套用于编写和编辑大型或复杂文档（包括结构化文档）的页面排版软件。Adobe Photoshop Desktop是美国奥多比（Adobe）公司的一个图片处理软件。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞导致在当前用户环境中执行任意代码。

CNVD收录的相关漏洞包括：Adobe Framemaker数字错误漏洞（CNVD-2026-19994、CNVD-2026-19995）、Adobe Framemaker类型混淆漏洞、Adobe Framemaker越界写入漏洞（CNVD-2026-19996）、Adobe Framemaker堆缓冲区溢出漏洞（CNVD-2026-19998）、Adobe Framemaker越界读取漏洞（CNVD-2026-19997）、Adobe Framemaker内存错误引用漏洞（CNVD-2026-19999）、Adobe Photoshop Desktop越界读取漏洞。上述漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-19994

https://www.cnvd.org.cn/flaw/show/CNVD-2026-19993

https://www.cnvd.org.cn/flaw/show/CNVD-2026-19995

https://www.cnvd.org.cn/flaw/show/CNVD-2026-19996

https://www.cnvd.org.cn/flaw/show/CNVD-2026-19998

https://www.cnvd.org.cn/flaw/show/CNVD-2026-19997

https://www.cnvd.org.cn/flaw/show/CNVD-2026-19999

https://www.cnvd.org.cn/flaw/show/CNVD-2026-20001

4、Mozilla产品安全漏洞

Mozilla Firefox是一款开源Web浏览器。Mozilla Firefox ESR是Firefox（Web浏览器）的一个延长支持版本。Mozilla Thunderbird是一套从Mozilla Application Suite独立出来的电子邮件客户端软件。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞导致浏览器崩溃，在系统上执行任意代码。

CNVD收录的相关漏洞包括：多款Mozilla产品代码问题漏洞（CNVD-2026-19982、CNVD-2026-19984、CNVD-2026-19986、CNVD-2026-19987）、多款Mozilla产品代码执行漏洞（CNVD-2026-19988、CNVD-2026-19989、CNVD-2026-19983、CNVD-2026-19985）。上述漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-19982

https://www.cnvd.org.cn/flaw/show/CNVD-2026-19983

https://www.cnvd.org.cn/flaw/show/CNVD-2026-19984

https://www.cnvd.org.cn/flaw/show/CNVD-2026-19985

https://www.cnvd.org.cn/flaw/show/CNVD-2026-19986

https://www.cnvd.org.cn/flaw/show/CNVD-2026-19987

https://www.cnvd.org.cn/flaw/show/CNVD-2026-19988

https://www.cnvd.org.cn/flaw/show/CNVD-2026-19989

5、Tenda F456 fromNatStaticSetting参数栈缓冲区溢出漏洞

Tenda F456是一款家用无线路由器产品，主要用于提供无线网络接入和网络管理功能。本周，Tenda F456被披露存在栈缓冲区溢出漏洞，该漏洞源于/goform/NatStaticSetting中的fromNatStaticSetting函数未能正确处理page参数，攻击者可利用该漏洞通过远程发送恶意数据触发栈溢出。CNVD提醒广大用户随时关注厂商主页，以获取最新版本。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-19971

小结：本周，Microsoft产品被披露存在多个漏洞，攻击者可利用漏洞绕过某些功能，提升权限，执行代码等。此外，Google、Adobe、Mozilla等多款产品被披露存在多个漏洞，攻击者可利用漏洞通过特制HTML页面执行越界内存读取，诱使用户访问特制的HTML页面，并结合已攻陷的渲染器进程，潜在地实现沙箱逃逸，诱骗用户安装恶意扩展程序，并构造特定的Chrome扩展来触发堆损坏，从而执行任意代码或导致程序崩溃等。另外，Tenda F456被披露存在栈缓冲区溢出漏洞，攻击者可利用该漏洞通过远程发送恶意数据触发栈溢出。建议相关用户随时关注上述厂商主页，及时获取修复补丁或解决方案。

本周重要漏洞攻击验证情况

本周，CNVD建议注意防范以下已公开漏洞攻击验证情况。

1、XATABoost CMS SQL注入漏洞

验证描述

XATABoost CMS是XATABoost公司的一个提供网站内容发布与管理功能的内容管理系统。

XATABoost CMS 1.0.0版本存在SQL注入漏洞。该漏洞源于应用缺少对外部输入SQL语句的验证，攻击者可利用该漏洞通过id参数注入SQL代码操纵数据库查询，向news.php发送带有恶意id值的GET请求以提取敏感数据库信息。

验证信息

POC链接：

https://www.exploit-db.com/exploits/44622

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-19969

信息提供者

新华三技术有限公司

注：以上验证信息(方法)可能带有攻击性，仅供安全研究之用。请广大用户加强对漏洞的防范工作，尽快下载相关补丁。

关于CNVD

国家信息安全漏洞共享平台（ChinaNationalVulnerabilityDatabase，简称CNVD）是由CNCERT联合国内重要信息系统单位、基础电信运营商、网络安全厂商、软件厂商和互联网企业建立的国家网络安全漏洞库，致力于建立国家统一的信息安全漏洞收集、发布、验证、分析等应急处理体系。

关于CNCERT

国家计算机网络应急技术处理协调中心（简称“国家互联网应急中心”，英文简称是CNCERT或CNCERT/CC），成立于2002年9月，为非政府非盈利的网络安全技术中心，是我国计算机网络应急处理体系中的牵头单位。

作为国家级应急中心，CNCERT的主要职责是：按照“积极预防、及时发现、快速响应、力保恢复”的方针，开展互联网网络安全事件的预防、发现、预警和协调处置等工作，维护国家公共互联网安全，保障基础信息网络和重要信息系统的安全运行。

网址：www.cert.org.cn

邮箱：vreport@cert.org.cn

电话：010-82991783

关注CNVD漏洞平台

阅读原文

跳转微信打开

]]> Mon, 18 May 2026 17:50:00 +0800 上周关注度较高的产品安全漏洞(20260511-20260517) https://mp.weixin.qq.com/s?__biz=MzU3ODM2NTg2Mg==&mid=2247496945&idx=2&sn=1abf49fbb97682b3d478368ae12be45a 上周关注度较高的产品安全漏洞(20260511-20260517) 原创 CNVD 2026-05-18 17:50 北京

上周关注度较高的产品安全漏洞(20260511-20260517)

一、境外厂商产品漏洞

1、Adobe Framemaker堆缓冲区溢出漏洞（CNVD-2026-19998）

Adobe Framemaker是美国奥多比（Adobe）公司的一套用于编写和编辑大型或复杂文档（包括结构化文档）的页面排版软件。Adobe Framemaker存在堆缓冲区溢出漏洞，攻击者可利用该漏洞导致在当前用户环境中执行任意代码。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-19998

2、多款Mozilla产品代码问题漏洞（CNVD-2026-19984）

Mozilla Firefox是一款开源Web浏览器。Mozilla Firefox ESR是Firefox（Web浏览器）的一个延长支持版本。Mozilla Thunderbird是一套从Mozilla Application Suite独立出来的电子邮件客户端软件。多款Mozilla产品存在代码问题漏洞，该漏洞是由于Graphics组件中的边界条件不正确造成的。攻击者可利用该漏洞导致浏览器崩溃。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-19984

3、Adobe Framemaker越界读取漏洞（CNVD-2026-19997）

Adobe Framemaker是美国奥多比（Adobe）公司的一套用于编写和编辑大型或复杂文档（包括结构化文档）的页面排版软件。Adobe Framemaker存在越界读取漏洞，攻击者可利用该漏洞导致在当前用户环境中执行代码。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-19997

4、多款Mozilla产品代码执行漏洞（CNVD-2026-19983）

Mozilla Firefox是一款开源Web浏览器。Mozilla Firefox ESR是Firefox(Web浏览器)的一个延长支持版本。Mozilla Thunderbird是一套从Mozilla Application Suite独立出来的电子邮件客户端软件。多款Mozilla产品存在代码执行漏洞，该漏洞是由于WebRTC:Signaling组件中的未定义行为引起的。攻击者可利用该漏洞在系统上执行任意代码。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-19983

5、Microsoft Windows SSDP权限提升漏洞

Microsoft Windows SSDP是美国微软（Microsoft）公司的简单服务发现提供程序。Microsoft Windows SSDP存在权限提升漏洞，攻击者可利用该漏洞提升权限。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-20180

二、境内厂商产品漏洞

1、Huawei HarmonyOS通信模块内存错误引用漏洞（CNVD-2026-20004）

Huawei HarmonyOS是中国华为（Huawei）公司的一个操作系统。提供一个基于微内核的全场景分布式操作系统。Huawei HarmonyOS通信模块存在内存错误引用漏洞，攻击者可利用该漏洞导致可用性受影响。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-20004

2、Delta Electronics DVP-12SE11T输入验证不当漏洞

Delta Electronics DVP-12SE11T是中国台达电子（Delta Electronics）公司的一款网络型主机。Delta Electronics DVP-12SE11T存在输入验证不当漏洞，攻击者可利用该漏洞导致拒绝服务。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-20005

3、Huawei HarmonyOS通信模块内存错误引用漏洞（CNVD-2026-20003）

Huawei HarmonyOS是中国华为（Huawei）公司的一个操作系统。提供一个基于微内核的全场景分布式操作系统。Huawei HarmonyOS通信模块存在内存错误引用漏洞，攻击者可利用该漏洞导致可用性受影响。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-20003

4、D-Link M60授权问题漏洞

D-Link M60是中国友讯（D-Link）公司的一款无线路由设备。D-Link M60 1.20B02及之前版本存在授权问题漏洞，该漏洞源于文件/usr/bin/httpd存在弱密码恢复问题，攻击者可利用该漏洞导致机密性、完整性和可用性受影响。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-19966

5、Tenda F456 fromNatStaticSetting参数栈缓冲区溢出漏洞

Tenda F456是一款家用无线路由器产品，主要用于提供无线网络接入和网络管理功能。Tenda F456存在栈缓冲区溢出漏洞。该漏洞源于/goform/NatStaticSetting中的fromNatStaticSetting函数未能正确处理page参数，攻击者可利用该漏洞通过远程发送恶意数据触发栈溢出。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-19971

说明：关注度分析由CNVD根据互联网用户对CNVD漏洞信息查阅情况以及产品应用广泛情况综合评定。

阅读原文

跳转微信打开

]]> Mon, 18 May 2026 17:50:00 +0800 关于部分智能体技能包（Skills）存在隐蔽执行恶意命令的安全公告 https://mp.weixin.qq.com/s?__biz=MzU3ODM2NTg2Mg==&mid=2247496907&idx=1&sn=d0f676c9f00caa5db2e062c5ca6d126c 近日，国家信息安全漏洞共享平台（CNVD）综合研判发现，多个智能体技能包（Skills）存在严重安全风险，可在“龙虾”（OpenClaw）等主流智能体系统中被恶意利用以执行未经授权的操作，或通过诱导方式使用户执行高危指令。 原创 CNVD 2026-05-11 10:18 北京

近日，国家信息安全漏洞共享平台（CNVD）综合研判发现，多个智能体技能包（Skills）存在严重安全风险，可在“龙虾”（OpenClaw）等主流智能体系统中被恶意利用以执行未经授权的操作，或通过诱导方式使用户执行高危指令。

安全公告编号:CNTA-2026-0003

近日，国家信息安全漏洞共享平台（CNVD）综合研判发现，多个智能体技能包（Skills）存在严重安全风险，可在“龙虾”（OpenClaw）等主流智能体系统中被恶意利用以执行未经授权的操作，或通过诱导方式使用户执行高危指令。攻击者可借此窃取用户敏感信息、非法控制智能体运行逻辑，甚至造成用户资产损失及其他衍生危害。国家信息安全漏洞共享平台提醒广大用户和相关运营单位增强安全防范意识，加强Skills来源审查与权限管理，及时清除可疑组件，防范由此引发的风险。

一、部分Skills隐蔽执行恶意命令

部分Skills存在隐蔽命令执行的恶意行为：伪装成正常的办公助手、数据分析等Skill，实际运行了下载木马等恶意文件的指令。智能体在用户不知情的情况下，根据恶意指令下载并运行木马或其他恶意文件，造成用户隐私和敏感数据泄露等严重后果。

案例一：隐蔽木马投毒

部分Skills（“yahoofinance”“bybit-trading”等）将恶意插件伪装成“自动交易机器人”、“效率辅助脚本”等热门工具，诱导用户或智能体自动下载。这些带有极强欺骗性的插件暗藏窃密木马，一旦被加载运行，便会直接绕过常规安全防御，在后台窃取用户电脑上的系统密码及核心业务凭证。此类恶意插件累计下载上万次，可能导致大量用户的数字资产和敏感数据遭到窃取，暴露出第三方AI工具库存在的严重安全审核盲区。

二、部分Skills诱导用户执行高危操作

部分Skills存在诱导使用第三方MCP/插件进行付费、非法交易等操作：如在Skill中推荐或内置来源不可信的MCP服务或插件程序，诱导用户在不可靠第三方网站注册付费，或者引入包含非法加密货币交易等隐藏恶意功能的插件。看似便捷的“智能助手”，成为数字时代悄然张开的“引流推手”。

案例二：诱导用户进行加密货币交易

Skill “MoltsPay” 宣称功能为帮助用户进行钱包管理工作，实则是在本地生成加密货币钱包，并通过“注册领取 333 ORA 代币奖励”诱导用户使用加密货币进行交易。此类Skill 存在三方面风险：一是在我国，虚拟货币（比特币、以太坊等）相关业务活动（如兑换、中介、钱包服务）已被明确禁止；二是Skill 设置“注册送 333 ORA、提现门槛却是 3333 ORA”的资金陷阱，用户无法立即取出任何奖励，需绑定 MoltWork 等关联平台持续完成任务才能"积累"差额，诱导用户不断投入却无法提现；三是私钥以明文形式写入本地固定路径，系统一旦被植入恶意模块或文件遭窃取，用户数字资产将面临直接被盗取且无法追回的风险。

案例三：诱导用户接入未经核验的第三方MCP服务

Skill “yanpan-finance”宣称可为智能体提供股票分析、研报查询、新闻解读等能力，使用方式并非通过官方统一认证渠道开通，而是引导用户接入第三方MCP服务地址，要求通过个人社交账号（如微信）联系获取API Key授权码后方可使用。此类模式存在三方面风险：一是授权流程脱离平台正规审核机制，服务主体、数据用途、收费规则不透明，后续可能出现付费开通、增值收费等情况；二是用户需向第三方服务提交访问凭证，存在账号信息、调用记录或业务数据泄露风险；三是第三方MCP服务具备与智能体交互能力，若安全管理不到位，可能引入恶意指令、数据篡改或供应链风险。

三、防范措施

当前，智能体Skills已不仅作为功能扩展的载体，而是逐步演变为网络攻击的新型入口。不法分子可利用恶意构造的技能包开展非法活动，对正常生产经营活动和公民数字生活造成现实危害。传统防护手段难以有效识别这些嵌入智能体工作流内部、并以“合法功能”为掩护的恶意行为。

为有效应对智能体Skills带来的安全风险，个人用户应坚持从官方渠道获取Skills，审慎授予权限并遵循最小化原则，及时回收敏感权限，定期清理不再使用的Skills与敏感对话记录，同时开启多因素认证以保护账户安全；企业层面则需建立Skills准入白名单机制，入库前做安全检查，优先在隔离网络部署智能体，按照数据敏感性对智能体分级管理，并实施数据脱敏与临时授权策略。

附录

部分恶意操作Skills清单（第一期）

序号

Skill名称

风险类型

版本号

哈希值

1

polymarket-hyperliquid-trading

木马投毒

1.0.1

2bd3f09c41f4a2306602d0895decdaf5

2

polymarket-assistant

木马投毒

1.5.6

bdd8480fc2806c7126524d22135f0fec

3

polymarket-trading

木马投毒

1.0.2

612f38c7667833ec8025ff0cbf75d3fa

4

autoupdater

木马投毒

1.0.0

4de59dd27cf796e11befb0317f888eb6

5

yahoofinance

木马投毒

1.0.1

4bcdfcc0c79f92501c6310eb1c78ac30

6

updater

木马投毒

1.0.0

cd846998571a9e6234042146cbbadbf8

7

bybit-trading

木马投毒

1.0.3

a964524e5badde2afcbc8734d3136c8c

8

clawhubb

木马投毒

1.0.0

64de5e32fae5baee4b02626d7aed6d75

9

update

木马投毒

1.0.0

0b6b36fe93091de201695af13da961f0

10

ethereum-gas-tracker-abxf0

木马投毒

1.0.0

2cf24ecf543169c0032411a352bc8027

11

browser-isolation-manager

诱导付费

1.0.0

fdb681c4bdc4ad4b86a3155d605f0659

12

yanpan-finance

诱导付费

1.5.0

da5f0e33bb4669567774ad914ad2d1da

13

taobao-merchant-ops

诱导付费

1.0.8

e2225e86dae71e8b36fdf7ecf378307a

14

weixin-wechat-channel

诱导付费

1.0.2

6f72b28ec06f84001ced869c6c52d625

15

find-news

诱导付费

1.0.1

b7bbb9037e14b7013f7667199e9e14c0

16

ai-financial-report-cn-payment

诱导付费

1.0.0

70004b3818243a19e4cf3f03259b88c5

17

yufeng-stock-screener

诱导付费

1.0.0

589605de7fe691a6dff38230f0c93e54

18

a2a-article-services

诱导付费

1.0.0

181c787f6d3f08054f3854f774d36c5d

19

MoltsPay

诱导加密货币交易

1.0.4

a5ae9ba4c1f0cea94e47e188edb84225

阅读原文

跳转微信打开

]]> Mon, 11 May 2026 10:18:00 +0800 CNVD漏洞周报2026年第17期 https://mp.weixin.qq.com/s?__biz=MzU3ODM2NTg2Mg==&mid=2247496900&idx=1&sn=49bed22ebc39742e20c189f53538f961 2026年04月27日-2026年05月03日 本周漏洞态势研判情况本周信息安全漏洞威胁整体评价级别为中。 原创 CNVD 2026-05-06 16:52 北京

2026年04月27日-2026年05月03日 本周漏洞态势研判情况本周信息安全漏洞威胁整体评价级别为中。

2026年04月27日-2026年05月03日

本周漏洞态势研判情况

本周信息安全漏洞威胁整体评价级别为中。

国家信息安全漏洞共享平台（以下简称CNVD）本周共收集、整理信息安全漏洞370个，其中高危漏洞151个、中危漏洞189个、低危漏洞30个。漏洞平均分值为6.23。本周收录的漏洞中，涉及0day漏洞258个（占70%），其中互联网上出现“Employee and Visitor Gate Pass Logging System目录遍历漏洞、Bank Locker Management System SQL注入漏洞”等零日代码攻击漏洞。本周CNVD接到的涉及党政机关和企事业单位的漏洞总数4961个，与上周（5074个）环比减少2%。

‍图1CNVD收录漏洞近10周平均分值分布图

图2CNVD0day漏洞总数按周统计

本周漏洞事件处置情况

本周，CNVD向银行、保险、能源等重要行业单位通报漏洞事件9起，向基础电信企业通报漏洞事件1起，协调CNCERT各分中心验证和处置涉及地方重要部门漏洞事件331起，协调教育行业应急组织验证和处置高校科研院所系统漏洞事件15起，向国家上级信息安全协调机构上报涉及部委门户、子站或直属单位信息系统漏洞事件33起。

图3CNVD各行业漏洞处置情况按周统计

图4CNCERT各分中心处置情况按周统计

图5CNVD教育行业应急组织处置情况按周统计

此外，CNVD通过已建立的联系机制或涉事单位公开联系渠道向以下单位通报了其信息系统或软硬件产品存在的漏洞，具体处置单位情况如下所示：

珠海奔图电子有限公司、重庆市伟岸测器制造股份有限公司、众勤通信设备贸易（上海）有限公司、中控技术股份有限公司、智互联（深圳）科技有限公司、知鱼智联科技股份有限公司、正方软件股份有限公司、浙江宇视科技有限公司、浙江兰德纵横网络技术股份有限公司、长沙精博信息技术有限公司、云南奇讯科技有限公司、友讯电子设备（上海）有限公司、用友网络科技股份有限公司、兄弟（中国）商业有限公司、信呼、新天科技股份有限公司、西安众邦网络科技有限公司、武汉天地伟业科技有限公司、武汉盛帆电子股份有限公司、网经科技（苏州）有限公司、泰安市诺盾网络有限公司、苏州汇川技术有限公司、松下电器（中国）有限公司、深圳市思迅软件股份有限公司、深圳市深科特信息技术有限公司、深圳市蓝凌软件股份有限公司、深圳市吉祥腾达科技有限公司、深圳市广联智通科技有限公司、深圳市大疆无人机应用有限公司、深圳市必联电子有限公司、上海纵之格科技有限公司、上海卓卓网络科技有限公司、上海华测导航技术股份有限公司、上海国云信息科技有限公司、上海孚盟软件有限公司、上海缔安科技股份有限公司、上海必智科技有限公司、上海百胜软件股份有限公司、商派软件有限公司、山东思达特测控设备有限公司、厦门四信通信科技有限公司、厦门熵基科技有限公司、厦门傲博教育科技有限公司、瑞斯康达科技发展股份有限公司、荣耀终端股份有限公司、青鸟消防股份有限公司、青岛雨诺网络信息股份有限公司、青岛东胜伟业软件有限公司、麒麟软件有限公司、普联技术有限公司、南京金维鸟智能系统股份有限公司、摩莎科技（上海）有限公司、麦克奥迪实业集团有限公司、凌霞（深圳）软件有限公司、辽宁晨晖智慧能源有限公司、理光（中国）投资有限公司、乐金电子（中国）有限公司、金蝶软件（中国）有限公司、江苏金智教育信息股份有限公司、济南驰骋信息技术有限公司、汇纳科技股份有限公司、湖南佐佑时代科技有限公司、合勤科技股份有限公司、杭州新中大科技股份有限公司、杭州西软信息技术有限公司、杭州海康威视数字技术股份有限公司、杭州飞致云信息科技有限公司、杭州短链网络技术有限公司、杭州藏茗山科技有限公司、海南赞赞网络科技有限公司、贵州黔狐科技股份有限公司、广州市互诺计算机科技有限公司、广州市保伦电子有限公司、广州恒企教育科技有限公司、广东优信无限网络股份有限公司、广东保伦电子股份有限公司、富士胶片商业创新（中国）有限公司、福建新大陆通信科技股份有限公司、泛微网络科技股份有限公司、东芝（中国）有限公司、成都同望科技有限公司、成都飞鱼星科技股份有限公司、畅捷通信息技术股份有限公司、禅道软件（杭州）有限公司、比亚迪股份有限公司、北京中农信达信息技术有限公司、北京长京益康信息科技有限公司、北京亿赛通科技发展有限责任公司、北京亚控科技发展有限公司、北京星网锐捷网络技术有限公司、北京小米科技有限责任公司、北京通达信科科技有限公司、北京圣博润高新技术股份有限公司、北京神州视翰科技有限公司、北京玛格泰克科技发展有限公司、北京金和网络股份有限公司、北京国炬信息技术有限公司、北京抖音信息服务有限公司、北京奥博威斯科技有限公司、北京安必达科技有限公司、北京爱迪科森教育科技股份有限公司、安科瑞电气股份有限公司、艾诺斯（中国）华达电源系统有限公司和阿里巴巴集团安全应急响应中心。

本周，CNVD发布了《关于Linux内核存在本地权限提升漏洞的安全公告》，详情参见CNVD网站公告内容（https://www.cnvd.org.cn/webinfo/show/12336）。

本周漏洞报送情况统计

本周报送情况如表1所示。其中，北京启明星辰信息安全技术有限公司、新华三技术有限公司、华为技术有限公司、南京众智维信息科技有限公司、北京数字观星科技有限公司等单位报送公开收集的漏洞数量较多。江苏金盾检测技术股份有限公司、成都卫士通信息安全技术有限公司、成都久信信息技术股份有限公司、北京安帝科技有限公司、中国中煤能源集团有限公司、湖南泛联新安信息科技有限公司、北京安华金和科技有限公司、中资网络信息安全科技有限公司、河南东方云盾信息技术有限公司、陕西青山四纪信息技术有限公司、北京君云天下科技有限公司、中电福富信息科技有限公司、江苏力可信网络科技有限公司、海南大学、上海吨吨信息技术有限公司、浙江大学控制科学与工程学院、国家石油天然气管网集团有限公司、中国电信股份有限公司研究院、成都华软技术工程有限公司及其他个人白帽子向CNVD提交了4961个以事件型漏洞为主的原创漏洞，其中包括奇安信网神（补天平台）、斗象科技（漏洞盒子）、上海交大和三六零数字安全科技集团有限公司向CNVD共享的白帽子报送4381条原创漏洞信息。

表1漏洞报送情况统计表

本周漏洞按类型和厂商统计

本周，CNVD收录了370个漏洞。WEB应用138个，应用程序110个，网络设备（交换机、路由器等网络端设备）66个，操作系统31个，智能设备（物联网终端设备）10个，数据库10个，安全产品5个。

表2漏洞按影响类型统计表

图6本周漏洞按影响类型分布

CNVD整理和发布的漏洞涉及TOTOLINK、Apple、Oracle等多家厂商的产品，部分漏洞数量按厂商统计如表3所示。

表3漏洞产品涉及厂商分布统计表

本周行业漏洞收录情况

本周，CNVD收录了39个电信行业漏洞，11个移动互联网行业漏洞，2个工控行业漏洞（如下图所示）。其中，“TOTOLINK A3300R stunServerAddr参数操作系统命令注入漏洞、Google Android权限提升漏洞（CNVD-2026-19056）”等漏洞的综合评级为“高危”。相关厂商已经发布了漏洞的修补程序，请参照CNVD相关行业漏洞库链接。

电信行业漏洞链接：http://telecom.cnvd.org.cn/

移动互联网行业漏洞链接：http://mi.cnvd.org.cn/

工控系统行业漏洞链接：http://ics.cnvd.org.cn/

图7电信行业漏洞统计

图8移动互联网行业漏洞统计

图9工控系统行业漏洞统计

本周重要漏洞安全告警

本周，CNVD整理和发布以下重要安全漏洞信息。

1、Microsoft产品安全漏洞

Microsoft Azure Monitor Agent是美国微软（Microsoft）公司的一款监控代理程序。Microsoft .NET Framework是美国微软（Microsoft）公司的一种全面且一致的编程模型，也是一个用于构建Windows、Windows Store、Windows Phone、Windows Server和Microsoft Azure的应用程序的开发平台。该平台包括C#和Visual Basic编程语言、公共语言运行库和广泛的类库。Microsoft Partner Center是微软的一款合作伙伴管理平台，主要用于合作伙伴管理客户、订阅和计费。Microsoft Desktop Windows Manager是美国微软（Microsoft）公司的一个桌面窗口管理器。Microsoft Brokering File System是美国微软（Microsoft）公司的一个文件系统。Microsoft Excel是美国微软（Microsoft）公司的一款Office套件中的电子表格处理软件。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞获取敏感信息，导致系统拒绝服务，在网络上提升权限。

CNVD收录的相关漏洞包括：Microsoft Azure Monitor Agent代码问题漏洞（CNVD-2026-18594）、Microsoft .NET Framework拒绝服务漏洞、Microsoft Partner Center访问控制漏洞、Microsoft Desktop Windows Manager资源管理错误漏洞（CNVD-2026-18598、CNVD-2026-18597、CNVD-2026-18596）、Microsoft Brokering File System资源管理错误漏洞、Microsoft Excel缓冲区溢出漏洞（CNVD-2026-18600）。其中，“Microsoft .NET Framework拒绝服务漏洞、Microsoft Partner Center访问控制漏洞”漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-18594

https://www.cnvd.org.cn/flaw/show/CNVD-2026-18592

https://www.cnvd.org.cn/flaw/show/CNVD-2026-18591

https://www.cnvd.org.cn/flaw/show/CNVD-2026-18598

https://www.cnvd.org.cn/flaw/show/CNVD-2026-18597

https://www.cnvd.org.cn/flaw/show/CNVD-2026-18596

https://www.cnvd.org.cn/flaw/show/CNVD-2026-18595

https://www.cnvd.org.cn/flaw/show/CNVD-2026-18600

2、Oracle产品安全漏洞

Oracle MySQL Server是一款开源的关系型数据库管理系统，其GIS组件提供地理空间数据处理功能。Oracle VM VirtualBox是一款由Oracle开发的桌面虚拟化软件，支持在单一主机上运行多个操作系统。Oracle MySQL Shell是一款用于管理和操作MySQL数据库的命令行工具与高级客户端。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞通过多种网络协议发送恶意请求，导致服务挂起或崩溃等。

CNVD收录的相关漏洞包括：Oracle MySQL Server Partition组件拒绝服务漏洞、Oracle MySQL Server GIS组件拒绝服务漏洞、Oracle VM VirtualBox Core组件拒绝服务漏洞（CNVD-2026-18569）、Oracle MySQL Server JSON组件拒绝服务漏洞、Oracle MySQL Shell Core Client拒绝服务漏洞（CNVD-2026-18574、CNVD-2026-18573）、Oracle MySQL Server Optimizer拒绝服务漏洞（CNVD-2026-18578）、Oracle MySQL Server InnoDB组件拒绝服务漏洞（CNVD-2026-18576）。其中，“Oracle VM VirtualBox Core组件拒绝服务漏洞（CNVD-2026-18569）”漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-18571

https://www.cnvd.org.cn/flaw/show/CNVD-2026-18570

https://www.cnvd.org.cn/flaw/show/CNVD-2026-18569

https://www.cnvd.org.cn/flaw/show/CNVD-2026-18575

https://www.cnvd.org.cn/flaw/show/CNVD-2026-18574

https://www.cnvd.org.cn/flaw/show/CNVD-2026-18573

https://www.cnvd.org.cn/flaw/show/CNVD-2026-18578

https://www.cnvd.org.cn/flaw/show/CNVD-2026-18576

3、Google产品安全漏洞

Google Chrome是美国谷歌（Google）公司的一款Web浏览器。Google Android是美国谷歌（Google）公司的一套以Linux为基础的开源操作系统。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞绕过安全限制，导致本地权限提升，在系统上执行任意代码等。

CNVD收录的相关漏洞包括：Google Android权限提升漏洞（CNVD-2026-18786、CNVD-2026-19056）、Google Android越界写入漏洞（CNVD-2026-18788）、Google Android权限绕过漏洞、Google Chrome代码执行漏洞（CNVD-2026-18791）、Google Chrome安全绕过漏洞（CNVD-2026-18792、CNVD-2026-18793、CNVD-2026-18794）。其中，除“Google Chrome安全绕过漏洞（CNVD-2026-18792、CNVD-2026-18793）”外，其余漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-18786

https://www.cnvd.org.cn/flaw/show/CNVD-2026-18788

https://www.cnvd.org.cn/flaw/show/CNVD-2026-18790

https://www.cnvd.org.cn/flaw/show/CNVD-2026-18791

https://www.cnvd.org.cn/flaw/show/CNVD-2026-18792

https://www.cnvd.org.cn/flaw/show/CNVD-2026-18793

https://www.cnvd.org.cn/flaw/show/CNVD-2026-18794

https://www.cnvd.org.cn/flaw/show/CNVD-2026-19056

4、Adobe产品安全漏洞

Adobe Lightroom Desktop是美国奥多比（Adobe）公司的一款专业的照片管理和编辑软件，旨在为摄影师和图像编辑人员提供强大的工作流程和编辑工具。Adobe Substance3D Modeler是美国奥多比（Adobe）公司的一款3D建模软件。Adobe DNG SDK是美国奥多比（Adobe）公司的一款提供读取和写入DNG文件功能的软件开发工具包。Adobe Connect是美国奥多比（Adobe）公司的一个用于创建会议环境的软件。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞窃取受害者基于cookie的身份验证凭据，导致应用程序拒绝服务，在当前用户的上下文中执行任意代码等。

CNVD收录的相关漏洞包括：Adobe Lightroom Desktop越界写入漏洞、Adobe Substance3D Modeler越界读取漏洞（CNVD-2026-18673）、Adobe Substance3D Stager越界读取漏洞（CNVD-2026-18674）、Adobe DNG SDK越界写入漏洞、Adobe DNG SDK输入验证错误漏洞、Adobe Connect跨站脚本漏洞（CNVD-2026-18678、CNVD-2026-18680、CNVD-2026-18681）。其中，“Adobe DNG SDK越界写入漏洞”漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-18672

https://www.cnvd.org.cn/flaw/show/CNVD-2026-18673

https://www.cnvd.org.cn/flaw/show/CNVD-2026-18674

https://www.cnvd.org.cn/flaw/show/CNVD-2026-18675

https://www.cnvd.org.cn/flaw/show/CNVD-2026-18676

https://www.cnvd.org.cn/flaw/show/CNVD-2026-18678

https://www.cnvd.org.cn/flaw/show/CNVD-2026-18680

https://www.cnvd.org.cn/flaw/show/CNVD-2026-18681

5、D-Link DI-8300 ip_position_asp函数缓冲区溢出漏洞

D-Link DI-8300是中国友讯（D-Link）公司的一款专为中小型网络环境设计的无线宽带路由器。本周，D-Link DI-8300被披露存在缓冲区溢出漏洞，该漏洞是由于ip_position_asp函数中ip参数未能正确验证输入数据的长度大小，攻击者可利用该漏洞导致拒绝服务。 CNVD提醒广大用户随时关注厂商主页，以获取最新版本。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-18603

小结：本周，Microsoft产品被披露存在多个漏洞，攻击者可利用漏洞获取敏感信息，导致系统拒绝服务，在网络上提升权限。此外，Oracle、Google、Adobe等多款产品被披露存在多个漏洞，攻击者可利用漏洞通过多种网络协议发送恶意请求，导致服务挂起或崩溃，绕过安全限制，导致本地权限提升，在系统上执行任意代码等。另外，D-Link DI-8300被披露存在缓冲区溢出漏洞，攻击者可利用该漏洞导致拒绝服务。建议相关用户随时关注上述厂商主页，及时获取修复补丁或解决方案。

本周重要漏洞攻击验证情况

本周，CNVD建议注意防范以下已公开漏洞攻击验证情况。

1、Bank Locker Management System SQL注入漏洞

验证描述

Bank Locker Management System是一款用于银行柜员管理的程序，可以实现某些银行业务，能够有效管理银行客户的柜员操作。

Bank Locker Management System存在SQL注入漏洞。攻击者可利用该漏洞进行攻击，导致服务器数据库的敏感信息泄露、数据篡改等风险。

验证信息

POC链接：

https://github.com/ARPANET-cyber/CVE/issues/8

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-18605

信息提供者

北京长亭科技有限公司

注：以上验证信息(方法)可能带有攻击性，仅供安全研究之用。请广大用户加强对漏洞的防范工作，尽快下载相关补丁。

关于CNVD

国家信息安全漏洞共享平台（China National Vulnerability Database，简称CNVD）是由CNCERT联合国内重要信息系统单位、基础电信运营商、网络安全厂商、软件厂商和互联网企业建立的国家网络安全漏洞库，致力于建立国家统一的信息安全漏洞收集、发布、验证、分析等应急处理体系。

关于CNCERT

国家计算机网络应急技术处理协调中心（简称“国家互联网应急中心”，英文简称是CNCERT或CNCERT/CC），成立于2002年9月，为非政府非盈利的网络安全技术中心，是我国计算机网络应急处理体系中的牵头单位。

作为国家级应急中心，CNCERT的主要职责是：按照“积极预防、及时发现、快速响应、力保恢复”的方针，开展互联网网络安全事件的预防、发现、预警和协调处置等工作，维护国家公共互联网安全，保障基础信息网络和重要信息系统的安全运行。

网址：www.cert.org.cn

邮箱：vreport@cert.org.cn

电话：010-82991537

关注CNVD漏洞平台

阅读原文

跳转微信打开

]]> Wed, 06 May 2026 16:52:00 +0800 上周关注度较高的产品安全漏洞(20260427-20260503) https://mp.weixin.qq.com/s?__biz=MzU3ODM2NTg2Mg==&mid=2247496900&idx=2&sn=1991f529308bac06911fe613c6256b3d 一、境外厂商产品漏洞 1、Google Chrome代码执行漏洞（CNVD-2026-18791） 原创 CNVD 2026-05-06 16:52 北京

一、境外厂商产品漏洞 1、Google Chrome代码执行漏洞（CNVD-2026-18791）

一、境外厂商产品漏洞

1、Google Chrome代码执行漏洞（CNVD-2026-18791）

Google Chrome是美国谷歌（Google）公司的一款Web浏览器。Google Chrome存在代码执行漏洞，攻击者可利用该漏洞在系统上执行任意代码。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-18791

2、Adobe Connect跨站脚本漏洞（CNVD-2026-18678）

Adobe Connect是美国奥多比（Adobe）公司的一个用于创建会议环境的软件。Adobe Connect存在跨站脚本漏洞，该漏洞是由于对用户提供的输入验证不当造成的。攻击者可利用该漏洞窃取受害者基于cookie的身份验证凭据。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-18678

3、Google Android权限提升漏洞（CNVD-2026-18786）

Google Android是美国谷歌（Google）公司的一套以Linux为基础的开源操作系统。Google Android存在权限提升漏洞，攻击者可利用该漏洞导致应用获得对不存在文件的读写访问权限和本地权限提升。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-18786

4、WordPress插件WCFM Marketplace SQL注入漏洞

WordPress是一套使用PHP语言开发的博客平台。该平台具有在基于PHP和MySQL的服务器上架设个人博客网站的功能。WordPress plugin是一个应用插件。WordPress插件WCFM Marketplace存在SQL注入漏洞，该漏洞源于应用缺少对外部输入SQL语句的验证，攻击者可利用该漏洞执行非法SQL命令窃取数据库敏感数据。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-19046

5、多款Apple产品拒绝服务漏洞（CNVD-2026-19045）

Apple iOS是一套为移动设备所开发的操作系统。Apple macOS是一套专为Mac计算机所开发的专用操作系统。Apple iPadOS是一套用于iPad平板电脑的操作系统。多款Apple产品存在拒绝服务漏洞，该漏洞是由于调用框架中的输入验证不当造成的。攻击者可利用该漏洞导致拒绝服务。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-19045

二、境内厂商产品漏洞

1、Huawei HarmonyOS窗口模块双重释放漏洞

Huawei HarmonyOS是中国华为（Huawei）公司的一个操作系统。提供一个基于微内核的全场景分布式操作系统。Huawei HarmonyOS窗口模块存在双重释放漏洞，攻击者可利用该漏洞导致可用性受影响。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-18801

2、TOTOLINK A3300R ttlWay参数命令注入漏洞

TOTOLINK A3300R是中国吉翁电子（TOTOLINK）公司的一款无线路由器。TOTOLINK A3300R ttlWay参数存在命令注入漏洞，攻击者可利用该漏洞通过向/cgi-bin/cstecgi.cgi的ttlWay参数发送恶意数据执行任意命令。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-18822

3、Delta Electronics AS320T拒绝服务漏洞

Delta Electronics AS320T是中国台达电子（Delta Electronics）公司的一款用于工业自动化控制的高性能可编程逻辑控制器设备。Delta Electronics AS320T存在拒绝服务漏洞，攻击者可利用该漏洞导致拒绝服务。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-19013

4、TOTOLINK A3300R interval参数命令注入漏洞

TOTOLINK A3300R是中国吉翁电子（TOTOLINK）公司的一款无线路由器。TOTOLINK A3300R interval参数存在命令注入漏洞，该漏洞产生的原因是/cgi-bin/cstecgi.cgi文件未能正确处理interval参数，攻击者可利用该漏洞执行任意命令。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-18813

5、Huawei HarmonyOS屏幕管理模块内存错误引用漏洞

Huawei HarmonyOS是中国华为（Huawei）公司的一个操作系统。提供一个基于微内核的全场景分布式操作系统。Huawei HarmonyOS屏幕管理模块存在内存错误引用漏洞，攻击者可利用该漏洞导致可用性受影响。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-18797

说明：关注度分析由CNVD根据互联网用户对CNVD漏洞信息查阅情况以及产品应用广泛情况综合评定。

阅读原文

跳转微信打开

]]> Wed, 06 May 2026 16:52:00 +0800 关于Linux内核存在本地权限提升漏洞的安全公告 https://mp.weixin.qq.com/s?__biz=MzU3ODM2NTg2Mg==&mid=2247496881&idx=1&sn=563b3c5245be0c633987b1613867773c 2026年4月30日，国家信息安全漏洞共享平台（CNVD）收录了Linux Kernel本地权限提升漏洞（CNVD-2026-19044，对应CVE-2026-31431）。 原创 CNVD 2026-04-30 12:33 北京

2026年4月30日，国家信息安全漏洞共享平台（CNVD）收录了Linux Kernel本地权限提升漏洞（CNVD-2026-19044，对应CVE-2026-31431）。

安全公告编号:CNTA-2026-0002

2026年4月30日，国家信息安全漏洞共享平台（CNVD）收录了Linux Kernel本地权限提升漏洞（CNVD-2026-19044，对应CVE-2026-31431）。本地攻击者利用该漏洞，可提权获得root权限。目前，漏洞利用代码已公开，官方已发布补丁完成修复。该漏洞对云服务器、容器宿主机、多租户环境影响较高，安天公司报告已发现漏洞在野利用情况，CNVD建议受影响用户立即升级至最新版本。

一、漏洞情况分析

Linux内核具有较好的稳定性和灵活性，被广泛应用于服务器、超级计算机、嵌入式设备、个人电脑、移动设备以及云计算基础设施。Linux内核的开源性吸引了全球开发者社区的持续贡献，形成了庞大的生态系统，包括Red Hat、Ubuntu等众多发行版本，成为全球最重要的软件项目之一。

2026年4月30日，国家信息安全漏洞共享平台收录了Linux Kernel本地权限提升漏洞。由于Linux内核加密子系统存在逻辑处理缺陷，本地普通权限用户可组合AF_ALG套接字和splice系统调用，向可读文件或SUID程序的页缓存中写入4字节，实现对setuid等高权限进程的篡改。攻击者利用该漏洞，可本地提权至root权限，在云服务器、容器宿主机、多租户场景下实现容器逃逸。

CNVD对该漏洞的综合评级为“高危”。

二、漏洞影响范围

目前，该漏洞影响默认启用或可加载algif_aead模块的Linux系统，已知受影响的产品如下：

1、Ubuntu24.04LTS及以下；

2、AmazonLinux2023及以下；

3、RedHatEnterpriseLinux10及以下；

4、RedHatEnterpriseLinux9及以下；

5、RedHatEnterpriseLinux8及以下；

6、SUSE16及以下；

7、Debian/Arch/Fedora/Rocky/Alma/Oracle等同期内核版本。

受影响的内核提交范围：

commit 72548b093ee3 ≤ version < commit a664bf3d603d

不受影响的Linux系统包括：内核主线7.0+、稳定版6.18.22+、稳定版6.19.12+。

该漏洞对多用户共享主机场景较高，高危场景包括：

1、共享服务器：多租户主机、开发机、跳板机等；

2、Kubernetes和容器集群；

3、CI/CD执行器，如GitHub Actions、GitLab Runner、Jenkins等。

三、漏洞处置建议

目前，Linux官方已发布新版本修复漏洞，CNVD建议受影响用户，尤其是高危场景用户尽快进行自查，并通过官方链接更新至最新版本：

https://git.kernel.org/stable/c/a664bf3d603dc3bdcf9ae47cc21e0daec706d7a5

也可采用以下临时修复措施：

1、禁用algif_aead内核模块

2、通过seccomp或运行安全策略，阻断容器内AF_ALG socket创建。

感谢知道创宇、360漏洞云、安天、深信服、微步对本报告提供的技术支持。

阅读原文

跳转微信打开

]]> Thu, 30 Apr 2026 12:33:00 +0800 CNVD漏洞周报2026年第16期 https://mp.weixin.qq.com/s?__biz=MzU3ODM2NTg2Mg==&mid=2247496877&idx=1&sn=977dd2d1b1458383917547ff10c8009b 国家信息安全漏洞共享平台（以下简称CNVD）本周共收集、整理信息安全漏洞527个，其中高危漏洞241个、中危漏洞238个、低危漏洞48个。 原创 CNVD 2026-04-27 21:27 北京

国家信息安全漏洞共享平台（以下简称CNVD）本周共收集、整理信息安全漏洞527个，其中高危漏洞241个、中危漏洞238个、低危漏洞48个。

2026年04月20日-2026年04月26日

本周漏洞态势研判情况

本周信息安全漏洞威胁整体评价级别为中。

国家信息安全漏洞共享平台（以下简称CNVD）本周共收集、整理信息安全漏洞527个，其中高危漏洞241个、中危漏洞238个、低危漏洞48个。漏洞平均分值为6.31。本周收录的漏洞中，涉及0day漏洞403个（占76%），其中互联网上出现“TOTOLINK A3600R缓冲区溢出漏洞、TRENDnet TEW-811DRU操作系统命令注入漏洞”等零日代码攻击漏洞。本周CNVD接到的涉及党政机关和企事业单位的漏洞总数5074个，与上周（2973个）环比增加71%。

‍图1CNVD收录漏洞近10周平均分值分布图

图2CNVD 0day漏洞总数按周统计

本周漏洞事件处置情况

本周，CNVD向银行、保险、能源等重要行业单位通报漏洞事件4起，向基础电信企业通报漏洞事件1起，协调CNCERT各分中心验证和处置涉及地方重要部门漏洞事件528起，协调教育行业应急组织验证和处置高校科研院所系统漏洞事件15起，向国家上级信息安全协调机构上报涉及部委门户、子站或直属单位信息系统漏洞事件52起。

图3CNVD各行业漏洞处置情况按周统计

图4CNCERT各分中心处置情况按周统计

图5CNVD教育行业应急组织处置情况按周统计

此外，CNVD通过已建立的联系机制或涉事单位公开联系渠道向以下单位通报了其信息系统或软硬件产品存在的漏洞，具体处置单位情况如下所示：

珠海奔图电子有限公司、重庆逐越光电科技有限公司、众勤通信设备贸易（上海）有限公司、中控技术股份有限公司、中科方德软件有限公司、郑州意象网络科技有限公司、正方软件股份有限公司、浙江宇视科技有限公司、浙江花田网络有限公司、浙江凡双科技股份有限公司、友讯电子设备（上海）有限公司、用友网络科技股份有限公司、兄弟（中国）商业有限公司、西安众邦网络科技有限公司、武汉天地伟业科技有限公司、武汉达梦数据库有限公司、北京网易有道计算机系统有限公司、同望科技股份有限公司、腾讯安全应急响应中心、搜狗公司、深圳市亿玛信诺科技有限公司、深圳市思迅软件股份有限公司、深圳市深科特信息技术有限公司、深圳市明源云科技有限公司、深圳市蓝凌软件股份有限公司、深圳市吉祥腾达科技有限公司、深圳市必联电子有限公司、深圳极速创想科技有限公司、上海商派网络科技有限公司、上海华测导航技术股份有限公司、上海泛微网络科技股份有限公司、上海缔安科技股份有限公司、山石网科通信技术（北京）有限公司、山东安在信息技术股份有限公司、厦门亿联网络技术股份有限公司、厦门星纵数字科技有限公司、厦门四信通信科技有限公司、瑞纳智能设备股份有限公司、青岛雨诺网络信息股份有限公司、青岛易软天创网络科技有限公司、青岛东胜伟业软件有限公司、麒麟软件有限公司、南京科远智慧科技集团股份有限公司、南昌卓蓝科技有限公司、联想图像（北京）科技有限公司、乐金电子（中国）有限公司、金蝶软件（中国）有限公司、济南有人物联网技术有限公司、湖南省众达数蔚信息技术有限公司、杭州云天软件股份有限公司、杭州数字云动科技有限公司、杭州海康威视数字技术股份有限公司、哈尔滨新中新电子股份有限公司、广州眨哇科技有限公司、广州视睿电子科技有限公司、广东腾微智数科技有限公司、广东数夫软件有限公司、广东堡塔安全技术有限公司、格兰菲智能科技股份有限公司、东莞市东城飞飞网络科技经营部、德力西集团有限公司、成都索贝数码科技股份有限公司、成都青软青之软件有限公司、成都帆连科技有限公司、畅捷通信息技术股份有限公司、博艺信息科技有限公司、北京智谱华章科技股份有限公司、北京致远互联软件股份有限公司、北京长京益康信息科技有限公司、北京亿赛通科技发展有限责任公司、北京伟联科技有限公司、北京万里开源软件有限公司、北京万户网络技术有限公司、北京数据项素智能科技有限公司、北京神州视翰科技有限公司、北京山石网科信息技术有限公司、北京凯特伟业科技有限公司、北京久其软件股份有限公司、北京金和网络股份有限公司、北京国炬信息技术有限公司、百德数科信息科技有限公司、安科瑞电气股份有限公司、安徽新华教育集团有限公司。

本周，CNVD发布了《Oracle发布2026年4月的安全公告》，详情参见CNVD网站公告内容（https://www.cnvd.org.cn/webinfo/show/12311）。

本周漏洞报送情况统计

本周报送情况如表1所示。其中，华为技术有限公司、新华三技术有限公司、深信服科技股份有限公司、北京数字观星科技有限公司、南京众智维信息科技有限公司等单位报送公开收集的漏洞数量较多。成都卫士通信息安全技术有限公司、联想集团、江苏金盾检测技术股份有限公司、成都久信信息技术股份有限公司、山东鼎夏智能科技有限公司、国家能源投资集团有限责任公司、北京网御星云信息技术有限公司、河南东方云盾信息技术有限公司、中资网络信息安全科技有限公司、重庆市通信产业服务有限公司智博创为网安分公司、北京卓识网安技术股份有限公司、国家石油天然气管网集团有限公司、上海观安信息技术股份有限公司、成都华软技术工程有限公司、东莞筑梦空间科技有限公司、成都尺物科技有限公司、中国中煤能源集团有限公司及其他个人白帽子向CNVD提交了5074个以事件型漏洞为主的原创漏洞，其中包括奇安信网神（补天平台）、斗象科技（漏洞盒子）和三六零数字安全科技集团有限公司向CNVD共享的白帽子报送3730条原创漏洞信息。

表1漏洞报送情况统计表

本周漏洞按类型和厂商统计

本周，CNVD收录了527个漏洞。WEB应用201个，应用程序136个，网络设备（交换机、路由器等网络端设备）109个，安全产品33个，操作系统33个，智能设备（物联网终端设备）9个，数据库6个。

表2漏洞按影响类型统计表

图6本周漏洞按影响类型分布

CNVD整理和发布的漏洞涉及Endian、Cisco、深圳市吉祥腾达科技有限公司等多家厂商的产品，部分漏洞数量按厂商统计如表3所示。

表3漏洞产品涉及厂商分布统计表

本周行业漏洞收录情况

本周，CNVD收录了12个电信行业漏洞，3个移动互联网行业漏洞，3个工控行业漏洞（如下图所示）。其中，“Delta Electronics ASDA-Soft栈缓冲区溢出漏洞、多款Apple产品越界访问漏洞”等漏洞的综合评级为“高危”。相关厂商已经发布了漏洞的修补程序，请参照CNVD相关行业漏洞库链接。

电信行业漏洞链接：http://telecom.cnvd.org.cn/

移动互联网行业漏洞链接：http://mi.cnvd.org.cn/

工控系统行业漏洞链接：http://ics.cnvd.org.cn/

图7电信行业漏洞统计

图8移动互联网行业漏洞统计

图9工控系统行业漏洞统计

本周重要漏洞安全告警

本周，CNVD整理和发布以下重要安全漏洞信息。

1、Adobe产品安全漏洞

Adobe Bridge是美国奥多比（Adobe）公司的一款文件查看器。Adobe InDesign Desktop是美国奥多比（Adobe）公司的一款页面排版软件。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞在系统上执行任意代码或导致应用程序崩溃。

CNVD收录的相关漏洞包括：Adobe Bridge堆缓冲区溢出漏洞（CNVD-2026-17718、CNVD-2026-17717、CNVD-2026-17735、CNVD-2026-17742）、Adobe InDesign Desktop堆缓冲区溢出漏洞（CNVD-2026-17774、CNVD-2026-17785、CNVD-2026-17790、CNVD-2026-17791）。其中，除“Adobe InDesign Desktop堆缓冲区溢出漏洞（CNVD-2026-17791）”外其余漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-17718

https://www.cnvd.org.cn/flaw/show/CNVD-2026-17717

https://www.cnvd.org.cn/flaw/show/CNVD-2026-17735

https://www.cnvd.org.cn/flaw/show/CNVD-2026-17742

https://www.cnvd.org.cn/flaw/show/CNVD-2026-17774

https://www.cnvd.org.cn/flaw/show/CNVD-2026-17785

https://www.cnvd.org.cn/flaw/show/CNVD-2026-17790

https://www.cnvd.org.cn/flaw/show/CNVD-2026-17791

2、NVIDIA产品安全漏洞

NVIDIA Triton Inference Server是一款用于部署AI模型的高性能推理服务软件。NVIDIA Jetson Linux是美国英伟达（NVIDIA）公司的一个边缘AI和机器人开发平台。NVIDIA NeMo Framework是一款用于构建和训练大型语言模型的AI框架，提供模型检查点加载和状态恢复功能。NVIDIA BioNeMo是NVIDIA公司推出的药物研发框架，属于NVIDIA Clara Discovery框架的组成部分。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞通过发送恶意请求导致服务崩溃，执行任意代码，获取敏感信息，数据篡改等。

CNVD收录的相关漏洞包括：NVIDIA Triton Inference Server拒绝服务漏洞（CNVD-2026-17795、CNVD-2026-17794）、NVIDIA Triton Inference Server请求头拒绝服务漏洞、NVIDIA Jetson Linux操作系统命令注入漏洞、NVIDIA NeMo Framework检查点加载远程代码执行漏洞、NVIDIA BioNeMo反序列化漏洞（CNVD-2026-17797、CNVD-2026-17796）、NVIDIA NeMo Framework反序列化漏洞（CNVD-2026-18274）。其中，除“NVIDIA NeMo Framework反序列化漏洞（CNVD-2026-18274）”外其余漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-17795

https://www.cnvd.org.cn/flaw/show/CNVD-2026-17794

https://www.cnvd.org.cn/flaw/show/CNVD-2026-17793

https://www.cnvd.org.cn/flaw/show/CNVD-2026-17792

https://www.cnvd.org.cn/flaw/show/CNVD-2026-17799

https://www.cnvd.org.cn/flaw/show/CNVD-2026-17797

https://www.cnvd.org.cn/flaw/show/CNVD-2026-17796

https://www.cnvd.org.cn/flaw/show/CNVD-2026-18274

3、Google产品安全漏洞

Google Chrome是美国谷歌（Google）公司的一款Web浏览器。Google Chrome on Android是美国谷歌（Google）公司的一款安卓系统中的网页浏览器。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞获取敏感信息，通过特制HTML页面执行任意代码等。

CNVD收录的相关漏洞包括：Google Chrome Skia组件越界读取漏洞、Google Chrome Codecs组件内存错误引用漏洞、Google Chrome Video组件内存错误引用漏洞、Google Chrome FileSystem组件内存错误引用漏洞、Google Chrome Forms组件内存错误引用漏洞（CNVD-2026-17818）、Google Chrome Codecs组件内存错误引用漏洞（CNVD-2026-17817）、Google Chrome Permissions组件内存错误引用漏洞、Google Chrome代码执行漏洞（CNVD-2026-17908）。上述漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-17812

https://www.cnvd.org.cn/flaw/show/CNVD-2026-17813

https://www.cnvd.org.cn/flaw/show/CNVD-2026-17816

https://www.cnvd.org.cn/flaw/show/CNVD-2026-17815

https://www.cnvd.org.cn/flaw/show/CNVD-2026-17818

https://www.cnvd.org.cn/flaw/show/CNVD-2026-17817

https://www.cnvd.org.cn/flaw/show/CNVD-2026-17819

https://www.cnvd.org.cn/flaw/show/CNVD-2026-17908

4、Cisco产品安全漏洞

Cisco IOS XE Software是美国思科（Cisco）公司的一种网络操作系统。Cisco Nexus Dashboard Insights是思科（Cisco）推出的一款面向数据中心网络的智能运维分析服务，旨在通过自动化、实时遥测和智能分析，提升网络的可观测性、故障排查效率与运营可靠性。Cisco Unity Connection是一款统一通信消息平台，主要提供语音邮件和消息传递功能。Cisco Catalyst SD-WAN Manager是一个高度可定制的仪表板,可简化和自动化Cisco SD-WAN的部署、配置、管理和操作。Cisco IOS XR是美国思科（Cisco）公司的一套为其网络设备开发的操作系统。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞通过发送特制的HTTP(S)请求执行SQL注入攻击，以root上下文写任意文件，导致权限提升和执行任意命令，导致拒绝服务等。

CNVD收录的相关漏洞包括：Cisco IOS XE Software资源管理错误漏洞（CNVD-2026-17805、CNVD-2026-17809）、Cisco Nexus Dashboard Insights任意文件写漏洞、Cisco Unity Connection Web管理界面SQL注入漏洞、Cisco Catalyst SD-WAN Manager跨站脚本漏洞、Cisco IOS XE Software输入验证错误漏洞（CNVD-2026-17808）、Cisco IOS XE Software授权问题漏洞（CNVD-2026-17807）、Cisco IOS XR操作系统命令注入漏洞（CNVD-2026-17811）。其中，“Cisco IOS XE Software资源管理错误漏洞（CNVD-2026-17805）、Cisco Nexus Dashboard Insights任意文件写漏洞、Cisco IOS XR操作系统命令注入漏洞（CNVD-2026-17811）”漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-17805

https://www.cnvd.org.cn/flaw/show/CNVD-2026-17804

https://www.cnvd.org.cn/flaw/show/CNVD-2026-17803

https://www.cnvd.org.cn/flaw/show/CNVD-2026-17810

https://www.cnvd.org.cn/flaw/show/CNVD-2026-17809

https://www.cnvd.org.cn/flaw/show/CNVD-2026-17808

https://www.cnvd.org.cn/flaw/show/CNVD-2026-17807

https://www.cnvd.org.cn/flaw/show/CNVD-2026-17811

5、D-Link DI-8003缓冲区溢出漏洞（CNVD-2026-17698）

D-Link DI-8003是中国友讯（D-Link）公司的一款无线路由器。本周，D-Link DI-8003被披露存在缓冲区溢出漏洞，该漏洞是由于user.asp脚本中的边界检查不正确造成的，攻击者可利用该漏洞导致拒绝服务。 CNVD提醒广大用户随时关注厂商主页，以获取最新版本。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-17698

小结：本周，Adobe产品被披露存在多个漏洞，攻击者可利用漏洞在系统上执行任意代码或导致应用程序崩溃。此外，NVIDIA、Google、Cisco等多款产品被披露存在多个漏洞，攻击者可利用漏洞通过发送特制的HTTP(S)请求执行SQL注入攻击，获取敏感信息，数据篡改，以root上下文写任意文件，导致权限提升和执行任意命令，导致拒绝服务等。另外，D-Link DI-8003被披露存在缓冲区溢出漏洞，攻击者可利用该漏洞导致拒绝服务。建议相关用户随时关注上述厂商主页，及时获取修复补丁或解决方案。

本周重要漏洞攻击验证情况

本周，CNVD建议注意防范以下已公开漏洞攻击验证情况。

1、TOTOLINK A3600R缓冲区溢出漏洞

验证描述

TOTOLINK A3600R是中国吉翁电子（TOTOLINK）公司的一款6天线1200M无线路由器。

TOTOLINK A3600R存在缓冲区溢出漏洞，该漏洞源于/lib/cste_modules/app.so库中setAppEasyWizardConfig函数的参数apcliSsid未能正确验证输入数据的长度大小，攻击者可利用该漏洞在系统上执行任意代码或者导致拒绝服务。

验证信息

POC链接：

https://github.com/SunnyYANGyaya/cuicuishark-sheep-fishIOT/blob/main/ToTolink/A3600R/4959-apcliSsid-setAppEasyWizardConfig.md#poc

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-17701

信息提供者

新华三技术有限公司

注：以上验证信息(方法)可能带有攻击性，仅供安全研究之用。请广大用户加强对漏洞的防范工作，尽快下载相关补丁。

关于CNVD

国家信息安全漏洞共享平台（ChinaNationalVulnerabilityDatabase，简称CNVD）是由CNCERT联合国内重要信息系统单位、基础电信运营商、网络安全厂商、软件厂商和互联网企业建立的国家网络安全漏洞库，致力于建立国家统一的信息安全漏洞收集、发布、验证、分析等应急处理体系。

关于CNCERT

国家计算机网络应急技术处理协调中心（简称“国家互联网应急中心”，英文简称是CNCERT或CNCERT/CC），成立于2002年9月，为非政府非盈利的网络安全技术中心，是我国计算机网络应急处理体系中的牵头单位。

作为国家级应急中心，CNCERT的主要职责是：按照“积极预防、及时发现、快速响应、力保恢复”的方针，开展互联网网络安全事件的预防、发现、预警和协调处置等工作，维护国家公共互联网安全，保障基础信息网络和重要信息系统的安全运行。

网址：www.cert.org.cn

邮箱：vreport@cert.org.cn

电话：010-82991783

关注CNVD漏洞平台

阅读原文

跳转微信打开

]]> Mon, 27 Apr 2026 21:27:00 +0800 上周关注度较高的产品安全漏洞(20260420-20260426) https://mp.weixin.qq.com/s?__biz=MzU3ODM2NTg2Mg==&mid=2247496877&idx=2&sn=3d9d3fa335df44a37a8b168f5dd91fce 上周关注度较高的产品安全漏洞(20260420-20260426) 原创 CNVD 2026-04-27 21:27 北京

上周关注度较高的产品安全漏洞(20260420-20260426)

一、境外厂商产品漏洞

1、Oracle VM VirtualBox Core组件内存破坏漏洞（CNVD-2026-18426）

Oracle VM VirtualBox是一款由Oracle开发的桌面虚拟化软件，主要用于在主机操作系统上创建和运行虚拟机。Oracle VM VirtualBox存在内存破坏漏洞。该漏洞源于Core组件未能正确处理内存操作，攻击者可利用该漏洞通过本地高权限登录在基础设施上执行恶意代码，最终完全控制Oracle VM VirtualBox。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-18426 

2、Endian Firewall remark参数跨站脚本漏洞（CNVD-2026-18375）

Endian Firewall是Endian公司的一款网络安全防火墙系统。Endian Firewall remark参数存在跨站脚本漏洞，该漏洞源于对/manage/ipsec/中的remark参数处理不当，攻击者可利用该漏洞注入恶意脚本并在其他用户查看页面时执行。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-18375 

3、Siemens SICAM SIAPP SDK路径遍历漏洞

Siemens SICAM SIAPP SDK是德国Siemens公司的一个软件开发工具包。Siemens SICAM SIAPP SDK存在路径遍历漏洞，该漏洞源于执行文件删除时未正确验证文件路径或目标，攻击者可利用该漏洞导致拒绝服务或服务中断。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-17889 

4、Siemens SICAM SIAPP SDK命令执行漏洞

Siemens SICAM SIAPP SDK是德国Siemens公司的一个软件开发工具包。Siemens SICAM SIAPP SDK存在命令执行漏洞，攻击者可利用该漏洞导致命令注入和完全系统破解。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-17888 

5、Google Chrome on Windows未初始化使用漏洞

Google Chrome是美国谷歌（Google）公司的一款Web浏览器。Google Chrome on Windows存在未初始化使用漏洞，攻击者可利用该漏洞通过特制HTML页面执行沙箱逃逸。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-17822 

二、境内厂商产品漏洞

1、TOTOLINK A3600R缓冲区溢出漏洞

TOTOLINK A3600R是中国吉翁电子（TOTOLINK）公司的一款6天线1200M无线路由器。TOTOLINK A3600R存在缓冲区溢出漏洞，该漏洞源于/lib/cste_modules/app.so库中setAppEasyWizardConfig函数的参数apcliSsid未能正确验证输入数据的长度大小，攻击者可利用该漏洞在系统上执行任意代码或者导致拒绝服务。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-17701 

2、D-Link DI-8003缓冲区溢出漏洞（CNVD-2026-17698）

D-Link DI-8003是中国友讯（D-Link）公司的一款无线路由器。D-Link DI-8003存在缓冲区溢出漏洞。该漏洞是由于user.asp脚本中的边界检查不正确造成的，攻击者可利用该漏洞导致拒绝服务。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-17698 

3、D-Link DI-8003缓冲区溢出漏洞（CNVD-2026-17696）

D-Link DI-8003是中国友讯（D-Link）公司的一款无线路由器。D-Link DI-8003存在缓冲区溢出漏洞。该漏洞源于对/usb_paswd.asp端点中name参数处理不当，攻击者可利用该漏洞导致拒绝服务。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-17696 

4、Delta Electronics ASDA-Soft栈缓冲区溢出漏洞

Delta Electronics ASDA-Soft是中国台达电子（Delta Electronics）公司的一款交流伺服电机。Delta Electronics ASDA-Soft存在栈缓冲区溢出漏洞，该漏洞是由于在解析格式错误的.par文件时进行不正确边界检查造成的，攻击者可利用该漏洞执行任意代码。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-18333 

5、ToToLink A3300R cstecgi.cgi url参数命令注入漏洞 

ToToLink A3300R是一款路由器产品，提供网络连接和数据传输功能。ToToLink A3300R存在命令注入漏洞，该漏洞源于未能正确验证/cgi-bin/cstecgi.cgi的url参数输入，攻击者可利用该漏洞通过发送特制请求执行任意命令。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-18568

说明：关注度分析由CNVD根据互联网用户对CNVD漏洞信息查阅情况以及产品应用广泛情况综合评定。

阅读原文

跳转微信打开

]]> Mon, 27 Apr 2026 21:27:00 +0800 Oracle发布2026年4月的安全公告 https://mp.weixin.qq.com/s?__biz=MzU3ODM2NTg2Mg==&mid=2247496861&idx=1&sn=e84728250c6c7e960ff202fd58a47932 2026年4月21日，Oracle发布了2026年4月份的安全更新，修复了其多款产品存在的481个安全漏洞。 原创 CNVD 2026-04-23 16:11 北京

2026年4月21日，Oracle发布了2026年4月份的安全更新，修复了其多款产品存在的481个安全漏洞。

全公告编号:CNTA-2026-0001

2026年4月21日，Oracle发布了2026年4月份的安全更新，修复了其多款产品存在的481个安全漏洞。受影响的产品包括：Oracle Database Server数据库（8个）、Oracle Adapter for Eclipse RDF4J（2个）、Oracle Autonomous Health Framework（2个）、Oracle Blockchain Platform（3个）、Oracle GoldenGate（10个）、Oracle REST Data Services（2个）、Oracle TimesTen In-Memory Database（1个）、Oracle Commerce（3个）、Oracle Communications（139个）、Oracle Construction and Engineering（4个）、电子商务套装软件Oracle E-Business Suite（18个）、Oracle Enterprise Manager（9个）、Oracle Financial Services Applications（75个）、中间件产品Fusion Middleware（59个）、Oracle Analytics（15个）、Oracle Life Science Applications（4个）、Oracle Hospitality Applications（1个）、Oracle Hyperion（6个）、Oracle Java SE（11个）、Oracle JD Edwards（3个）、Oracle MySQL数据库（34个）、Oracle PeopleSoft（21个）、Oracle Retail Applications（15个）、Oracle Siebel CRM（14个）、Oracle Supply Chain（4个）、Oracle Systems（2个）、Oracle Utilities Applications（7个）和Oracle Virtualization（9个）。

本次安全更新涉及的漏洞中，共包括255个高危漏洞，432个可被远程利用漏洞。值得关注的漏洞情况如下表所示。CNVD提醒广大Oracle用户，请及时下载补丁更新，避免引发漏洞相关的安全事件。

CVE编号

公告标题

最高严重等级和漏洞影响

受影响的软件

CVE-2026-34318

Oracle MySQL Shell信息泄露漏洞

Oracle MySQL Shell的Core Client组件存在安全漏洞，允许高权限攻击者通过多种协议访问网络，从而危害MySQL Shell。成功攻击可导致攻击者未经授权访问关键数据或完全访问所有MySQL Shell可访问的数据。

次要

Oracle MySQL Shell 8.0.0-8.0.45

Oracle MySQL Shell 8.4.0-8.4.8

Oracle MySQL Shell 9.0.0-9.6.0

CVE-2026-34305

Oracle WebLogic Server信息泄露漏洞

Oracle WebLogic Server的Web Services组件存在安全漏洞，允许未经身份验证的攻击者通过HTTP访问网络，从而危害Oracle WebLogic Server。成功攻击可导致攻击者未经授权访问关键数据或完全访问所有Oracle WebLogic Server可访问的数据。

重要

Oracle WebLogic Server 12.2.1.4.0

Oracle WebLogic Server 14.1.1.0.0

Oracle WebLogic Server 14.1.2.0.0

Oracle WebLogic Server 15.1.1.0.0

参考信息：

https://www.oracle.com/security-alerts/cpuapr2026.html      

阅读原文

跳转微信打开

]]> Thu, 23 Apr 2026 16:11:00 +0800 CNVD漏洞周报2026年第15期 https://mp.weixin.qq.com/s?__biz=MzU3ODM2NTg2Mg==&mid=2247496857&idx=1&sn=3d4b41dbe1073f02db12fcd9fda61a99 国家信息安全漏洞共享平台（以下简称CNVD）本周共收集、整理信息安全漏洞532个，其中高危漏洞278个、中危漏洞227个、低危漏洞27个。 原创 CNVD 2026-04-20 17:45 北京

国家信息安全漏洞共享平台（以下简称CNVD）本周共收集、整理信息安全漏洞532个，其中高危漏洞278个、中危漏洞227个、低危漏洞27个。

2026年04月13日-2026年04月19日

本周漏洞态势研判情况

本周信息安全漏洞威胁整体评价级别为中。

国家信息安全漏洞共享平台（以下简称CNVD）本周共收集、整理信息安全漏洞532个，其中高危漏洞278个、中危漏洞227个、低危漏洞27个。漏洞平均分值为6.74。本周收录的漏洞中，涉及0day漏洞400个（占75%），其中互联网上出现“Bank Locker Management System SQL注入漏洞、e-Diary Management System SQL注入漏洞”等零日代码攻击漏洞。本周CNVD接到的涉及党政机关和企事业单位的漏洞总数2973个，与上周（6548个）环比减少55%。

‍图1CNVD收录漏洞近10周平均分值分布图

图2CNVD 0day漏洞总数按周统计

本周漏洞事件处置情况

本周，CNVD向银行、保险、能源等重要行业单位通报漏洞事件6起，向基础电信企业通报漏洞事件0起，协调CNCERT各分中心验证和处置涉及地方重要部门漏洞事件217起，协调教育行业应急组织验证和处置高校科研院所系统漏洞事件22起，向国家上级信息安全协调机构上报涉及部委门户、子站或直属单位信息系统漏洞事件58起。

图3CNVD各行业漏洞处置情况按周统计

图4CNCERT各分中心处置情况按周统计

图5CNVD教育行业应急组织处置情况按周统计

此外，CNVD通过已建立的联系机制或涉事单位公开联系渠道向以下单位通报了其信息系统或软硬件产品存在的漏洞，具体处置单位情况如下所示：

珠海派诺科技股份有限公司、中控技术股份有限公司、郑州微笑智能科技有限公司、郑州市金水区恒友摄影软件经营部、浙江兰德纵横网络技术股份有限公司、浙江和达科技股份有限公司、友讯电子设备（上海）有限公司、用友网络科技股份有限公司、兄弟（中国）商业有限公司、新开普电子股份有限公司、武汉引力云科技有限公司、武汉天地伟业科技有限公司、武汉思维跳跃科技有限公司、武汉深之度科技有限公司、武汉青鸟智安科技有限公司、卫宁健康科技集团股份有限公司、腾讯安全应急响应中心、深圳市拓普泰尔科技有限公司、深圳市四海智慧数字科技有限公司、深圳市思迅软件股份有限公司、深圳市深科特信息技术有限公司、深圳市明源云科技有限公司、深圳市蓝凌软件股份有限公司、深圳市吉祥腾达科技有限公司、深圳市华德安科技有限公司、深圳市必联电子有限公司、深圳科士达科技股份有限公司、深信服科技股份有限公司、上海卓卓网络科技有限公司、上海正品贵德软件有限公司、上海华测导航技术股份有限公司、上海泛微网络科技股份有限公司、上海必智科技有限公司、商派软件有限公司、山石网科通信技术（北京）有限公司、山东比特智能科技股份有限公司、厦门星纵数字科技有限公司、厦门四信通信科技有限公司、厦门熵基科技有限公司、瑞斯康达科技发展股份有限公司、瑞纳智能设备股份有限公司、容知日新科技股份有限公司、青岛雨诺网络信息股份有限公司、青岛东胜伟业软件有限公司、麒麟软件有限公司、宁波市科技园区明天医网科技有限公司、迈拓仪表股份有限公司、联想图像（北京）科技有限公司、乐金电子（中国）有限公司、廊坊市极致网络科技有限公司、蓝鸽集团有限公司、开放原子开源基金会、金蝶软件（中国）有限公司、江西铭软科技有限公司、佳能（中国）有限公司、济南有人物联网技术有限公司、济南驰骋信息技术有限公司、惠州市语辰软件开发有限公司、宏脉信息技术（广州）股份有限公司、杭州云天软件股份有限公司、杭州雄迈信息技术有限公司、杭州新中大科技股份有限公司、杭州海康威视数字技术股份有限公司、海纳云物联科技有限公司、贵州黔狐科技股份有限公司、广州视睿电子科技有限公司、富士胶片商业创新（中国）有限公司、福建顶点软件股份有限公司、东莞市东城飞飞网络科技经营部、成都同飞科技有限责任公司、成都海信达科技有限公司、成都帆连科技有限公司、畅捷通信息技术股份有限公司、比亚迪股份有限公司、北京中农信达信息技术有限公司、北京致远互联软件股份有限公司、北京长京益康信息科技有限公司、北京亿赛通科技发展有限责任公司、小米科技有限责任公司、北京威努特技术有限公司、北京万户网络技术有限公司、北京神州视翰科技有限公司、北京神州鲲泰信息技术有限公司、北京巧巧时代网络科技有限公司、北京金和网络股份有限公司、北京海识软件有限公司、北京北大方正电子有限公司、安科瑞电气股份有限公司、安吉加加信息技术有限公司、安徽海螺信息技术工程有限责任公司和Adobe。

本周漏洞报送情况统计

本周报送情况如表1所示。其中，北京启明星辰信息安全技术有限公司、新华三技术有限公司、华为技术有限公司、北京数字观星科技有限公司、北京天融信网络安全技术有限公司等单位报送公开收集的漏洞数量较多。成都卫士通信息安全技术有限公司、江苏金盾检测技术股份有限公司、中国中煤能源集团有限公司、北京山石网科信息技术有限公司、河南东方云盾信息技术有限公司、广东粤创智科信息服务有限公司、江苏讯安信息安全技术有限公司、北京网御星云信息技术有限公司、上海吨吨信息技术有限公司、海南神州希望网络有限公司、中电福富信息科技有限公司及其他个人白帽子向CNVD提交了2973个以事件型漏洞为主的原创漏洞，其中包括奇安信网神（补天平台）、斗象科技（漏洞盒子）和三六零数字安全科技集团有限公司向CNVD共享的白帽子报送2382条原创漏洞信息。

表1漏洞报送情况统计表

本周漏洞按类型和厂商统计

本周，CNVD收录了532个漏洞。WEB应用259个，网络设备（交换机、路由器等网络端设备）114个，应用程序112个，操作系统24个，智能设备（物联网终端设备）9个，安全产品8个，数据库6个。

表2漏洞按影响类型统计表

图6本周漏洞按影响类型分布

CNVD整理和发布的漏洞涉及Discourse、北京金和网络股份有限公司、北京神州视翰科技有限公司等多家厂商的产品，部分漏洞数量按厂商统计如表3所示。

表3漏洞产品涉及厂商分布统计表

本周行业漏洞收录情况

本周，CNVD收录了30个电信行业漏洞，5个移动互联网行业漏洞，4个工控行业漏洞（如下图所示）。其中，“Apple iOS缓冲区溢出漏洞（CNVD-2026-17163）”等漏洞的综合评级为“高危”。相关厂商已经发布了漏洞的修补程序，请参照CNVD相关行业漏洞库链接。

电信行业漏洞链接：http://telecom.cnvd.org.cn/

移动互联网行业漏洞链接：http://mi.cnvd.org.cn/

工控系统行业漏洞链接：http://ics.cnvd.org.cn/

图7电信行业漏洞统计

图8移动互联网行业漏洞统计

图9工控系统行业漏洞统计

本周重要漏洞安全告警

本周，CNVD整理和发布以下重要安全漏洞信息。

1、Microsoft产品安全漏洞

Microsoft Hyper-V是美国微软（Microsoft）公司的一个应用程序。一种系统管理程序虚拟化技术，能够实现桌面虚拟化。Microsoft Windows Cloud Files Mini Filter Driver是美国微软（Microsoft）公司的一款云文件过滤器驱动程序。Microsoft Windows Ancillary Function Driver for WinSock是美国微软（Microsoft）公司的Winsock的辅助功能驱动程序。Microsoft Windows NTFS是美国微软（Microsoft）公司的一个为计算机文件服务的文件系统。该文件系统具有错误预警功能、磁盘自我修复功能和日志功能。Microsoft Windows是美国微软（Microsoft）公司的一套个人设备使用的操作系统。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞提升权限，在系统上执行任意代码。

CNVD收录的相关漏洞包括：Microsoft Hyper-V代码执行漏洞（CNVD-2026-17151）、Microsoft Windows Cloud Files Mini Filter Driver权限提升漏洞（CNVD-2026-17154、CNVD-2026-17155）、Microsoft Windows Ancillary Function Driver for WinSock权限提升漏洞、Microsoft Windows NTFS代码执行漏洞（CNVD-2026-17156、CNVD-2026-17157）、Microsoft Hyper-V拒绝服务漏洞（CNVD-2026-17160）、Microsoft Windows Management Services权限提升漏洞。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-17151

https://www.cnvd.org.cn/flaw/show/CNVD-2026-17154

https://www.cnvd.org.cn/flaw/show/CNVD-2026-17153

https://www.cnvd.org.cn/flaw/show/CNVD-2026-17156

https://www.cnvd.org.cn/flaw/show/CNVD-2026-17155

https://www.cnvd.org.cn/flaw/show/CNVD-2026-17157

https://www.cnvd.org.cn/flaw/show/CNVD-2026-17160

https://www.cnvd.org.cn/flaw/show/CNVD-2026-17159

2、Google产品安全漏洞

Google Chrome是美国谷歌（Google）公司的一款Web浏览器。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞通过特制HTML页面执行越界内存读取，导致内存暴露和敏感信息泄露，执行任意代码。

CNVD收录的相关漏洞包括：Google Chrome ANGLE组件整数溢出漏洞、Google Chrome ANGLE堆缓冲区溢出漏洞（CNVD-2026-16862）、Google Chrome PDF组件内存错误引用漏洞、Google Chrome GPU堆缓冲区溢出漏洞、Google Chrome Dawn组件内存错误引用漏洞、Google Chrome Compositing组件内存错误引用漏洞、Google Chrome WebGL组件内存错误引用漏洞、Google Chrome WebCodecs组件越界读取漏洞。上述漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-16863

https://www.cnvd.org.cn/flaw/show/CNVD-2026-16862

https://www.cnvd.org.cn/flaw/show/CNVD-2026-16867

https://www.cnvd.org.cn/flaw/show/CNVD-2026-16866

https://www.cnvd.org.cn/flaw/show/CNVD-2026-16865

https://www.cnvd.org.cn/flaw/show/CNVD-2026-16864

https://www.cnvd.org.cn/flaw/show/CNVD-2026-16871

https://www.cnvd.org.cn/flaw/show/CNVD-2026-16870

3、IBM产品安全漏洞

IBM Aspera Shares是美国国际商业机器（IBM）公司的一个Web应用程序。IBM InfoSphere Information Server是IBM的企业级数据集成平台，用于整合、清洗和管理来自不同来源的数据。IBM Verify Identity Access和Security Verify Access是一系列身份和访问管理解决方案，提供用户认证和访问控制功能。IBM Content Navigator是一款企业内容管理和协作平台，它主要用于文档管理、工作流和内容检索。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞解密高度敏感信息，通过嵌入恶意JavaScript代码窃取会话凭据，在未授权状态下绕过认证并获取应用访问权限等。

CNVD收录的相关漏洞包括：IBM Aspera Shares访问控制错误漏洞、IBM Aspera Shares输入验证错误漏洞（CNVD-2026-16874）、IBM Aspera Shares加密问题漏洞（CNVD-2026-16873）、IBM InfoSphere Information Server代码问题漏洞（CNVD-2026-16878）、IBM Aspera Shares存储型跨站脚本漏洞、IBM Verify Identity Access认证绕过漏洞（CNVD-2026-16876）、IBM Content Navigator跨站脚本漏洞（CNVD-2026-16875）、IBM InfoSphere Information Server跨站脚本漏洞（CNVD-2026-16881）。其中，“IBM Aspera Shares访问控制错误漏洞、IBM Aspera Shares加密问题漏洞（CNVD-2026-16873）、IBM Verify Identity Access认证绕过漏洞（CNVD-2026-16876）”漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-16872

https://www.cnvd.org.cn/flaw/show/CNVD-2026-16874

https://www.cnvd.org.cn/flaw/show/CNVD-2026-16873

https://www.cnvd.org.cn/flaw/show/CNVD-2026-16878

https://www.cnvd.org.cn/flaw/show/CNVD-2026-16877

https://www.cnvd.org.cn/flaw/show/CNVD-2026-16876

https://www.cnvd.org.cn/flaw/show/CNVD-2026-16875

https://www.cnvd.org.cn/flaw/show/CNVD-2026-16881

4、Mozilla产品安全漏洞

Mozilla Firefox是一款开源Web浏览器。Mozilla Firefox ESR是Firefox（Web浏览器）的一个延长支持版本。Mozilla Thunderbird是一套从Mozilla Application Suite独立出来的电子邮件客户端软件。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞导致沙箱逃逸，提升权限，在系统上执行任意代码等。

CNVD收录的相关漏洞包括：多款Mozilla产品内存破坏漏洞（CNVD-2026-16994）、多款Mozilla产品整数溢出漏洞（CNVD-2026-16993）、多款Mozilla产品代码执行漏洞（CNVD-2026-16995）、多款Mozilla产品资源管理错误漏洞（CNVD-2026-16998）、多款Mozilla产品代码问题漏洞（CNVD-2026-16997、CNVD-2026-16996）、多款Mozilla产品内存错误引用漏洞（CNVD-2026-16999）、多款Mozilla产品权限提升漏洞（CNVD-2026-17001）。上述漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-16994

https://www.cnvd.org.cn/flaw/show/CNVD-2026-16993

https://www.cnvd.org.cn/flaw/show/CNVD-2026-16996

https://www.cnvd.org.cn/flaw/show/CNVD-2026-16995

https://www.cnvd.org.cn/flaw/show/CNVD-2026-16998

https://www.cnvd.org.cn/flaw/show/CNVD-2026-16997

https://www.cnvd.org.cn/flaw/show/CNVD-2026-16999

https://www.cnvd.org.cn/flaw/show/CNVD-2026-17001

5、D-Link DI-8003缓冲区溢出漏洞（CNVD-2026-17537）

D-Link DI-8003是中国友讯（D-Link）公司的一款无线路由器。本周，D-Link DI-8003被披露存在缓冲区溢出漏洞，该漏洞源于/url_member.asp端点中name参数未能正确验证输入数据的长度大小，攻击者可利用该漏洞导致拒绝服务。CNVD提醒广大用户随时关注厂商主页，以获取最新版本。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-17537

小结：本周，Microsoft产品被披露存在多个漏洞，攻击者可利用漏洞提升权限，在系统上执行任意代码。此外，Google、IBM、Mozilla等多款产品被披露存在多个漏洞，攻击者可利用漏洞通过特制HTML页面执行越界内存读取，导致内存暴露和敏感信息泄露，执行任意代码等。另外，D-Link DI-8003被披露存在缓冲区溢出漏洞，攻击者可利用该漏洞导致拒绝服务。建议相关用户随时关注上述厂商主页，及时获取修复补丁或解决方案。

本周重要漏洞攻击验证情况

本周，CNVD建议注意防范以下已公开漏洞攻击验证情况。

1、Bank Locker Management System SQL注入漏洞

验证描述

Bank Locker Management System是一款银行柜锁管理系统,具备完善的柜锁管理功能。该产品能够提供安全、高效的管理服务,是银行业务管理的必备利器。

Bank Locker Management System存在SQL注入漏洞。攻击者可利用该漏洞发起攻击,造成敏感信息泄露、数据篡改等危害。

验证信息

POC链接：

https://github.com/ARPANET-cyber/CVE/issues/5

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-16888

信息提供者

北京长亭科技有限公司

注：以上验证信息(方法)可能带有攻击性，仅供安全研究之用。请广大用户加强对漏洞的防范工作，尽快下载相关补丁。

关于CNVD

国家信息安全漏洞共享平台（ChinaNationalVulnerabilityDatabase，简称CNVD）是由CNCERT联合国内重要信息系统单位、基础电信运营商、网络安全厂商、软件厂商和互联网企业建立的国家网络安全漏洞库，致力于建立国家统一的信息安全漏洞收集、发布、验证、分析等应急处理体系。

关于CNCERT

国家计算机网络应急技术处理协调中心（简称“国家互联网应急中心”，英文简称是CNCERT或CNCERT/CC），成立于2002年9月，为非政府非盈利的网络安全技术中心，是我国计算机网络应急处理体系中的牵头单位。

作为国家级应急中心，CNCERT的主要职责是：按照“积极预防、及时发现、快速响应、力保恢复”的方针，开展互联网网络安全事件的预防、发现、预警和协调处置等工作，维护国家公共互联网安全，保障基础信息网络和重要信息系统的安全运行。

网址：www.cert.org.cn

邮箱：vreport@cert.org.cn

电话：010-82991783

关注CNVD漏洞平台

阅读原文

跳转微信打开

]]> Mon, 20 Apr 2026 17:45:00 +0800 上周关注度较高的产品安全漏洞(20260413-20260419) https://mp.weixin.qq.com/s?__biz=MzU3ODM2NTg2Mg==&mid=2247496857&idx=2&sn=6823408c6cbd6556270d427a018a31b2 上周关注度较高的产品安全漏洞(20260413-20260419) 原创 CNVD 2026-04-20 17:45 北京

上周关注度较高的产品安全漏洞(20260413-20260419)

一、境外厂商产品漏洞

1、Dell AppSync权限提升漏洞（CNVD-2026-17277）

Dell AppSync是美国戴尔（Dell）公司的一个数据复制管理应用。Dell AppSync 4.6.0版本存在权限提升漏洞。该漏洞源于关键资源权限分配不当，攻击者可利用该漏洞导致权限提升。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-17277

2、Microsoft Windows Ancillary Function Driver for WinSock权限提升漏洞

Microsoft Windows Ancillary Function Driver for WinSock是美国微软（Microsoft）公司的Winsock的辅助功能驱动程序。Microsoft Windows Ancillary Function Driver for WinSock存在权限提升漏洞，该漏洞是由于WinSock组件的辅助功能驱动程序中的类型混淆缺陷引起的。攻击者可利用该漏洞提升权限。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-17153

3、IBM Aspera Console拒绝服务漏洞

IBM Aspera Console是美国国际商业机器（IBM）公司的一个基于Web的应用程序。允许用户集中管理、监控和控制 Aspera 服务器（节点）和传输。IBM Aspera Console存在拒绝服务漏洞，攻击者可利用该漏洞导致电子邮件服务拒绝服务。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-17492

4、多款Mozilla产品权限提升漏洞（CNVD-2026-17001）

Mozilla Firefox是一款开源Web浏览器。Mozilla Firefox ESR是Firefox（Web浏览器）的一个延长支持版本。Mozilla Thunderbird是一套从Mozilla Application Suite独立出来的电子邮件客户端软件。多款Mozilla产品存在权限提升漏洞，攻击者可利用该漏洞提升权限。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-17001

5、Microsoft Hyper-V代码执行漏洞（CNVD-2026-17151）

Microsoft Hyper-V是美国微软（Microsoft）公司的一个应用程序。一种系统管理程序虚拟化技术，能够实现桌面虚拟化。Microsoft Hyper-V存在代码执行漏洞，攻击者可利用该漏洞在系统上执行任意代码。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-17151

二、境内厂商产品漏洞

1、Huawei HarmonyOS和EMUI kernel模块越界写入漏洞

Huawei HarmonyOS是中国华为（Huawei）公司的一个操作系统。提供一个基于微内核的全场景分布式操作系统。Huawei EMUI是华为公司开发的一种基于Android操作系统的用户界面。Huawei HarmonyOS和EMUI kernel模块存在越界写入漏洞，攻击者可利用该漏洞导致机密性、可用性受影响。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-17176

2、D-Link DI-8003缓冲区溢出漏洞（CNVD-2026-17537）

D-Link DI-8003是中国友讯（D-Link）公司的一款无线路由器。D-Link DI-8003存在缓冲区溢出漏洞。该漏洞源于/url_member.asp端点中name参数未能正确验证输入数据的长度大小，攻击者可利用该漏洞导致拒绝服务。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-17537

3、ZTE T5400授权问题漏洞

ZTE T5400是中国中兴通讯（ZTE）公司的一款路由器。ZTE T5400存在授权问题漏洞，该漏洞源于Web模块接口权限控制不当，攻击者可利用该漏洞获取敏感信息。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-17181

4、Huawei HarmonyOS WEB模块越界写入漏洞（CNVD-2026-17169）

Huawei HarmonyOS是中国华为（Huawei）公司的一个操作系统。提供一个基于微内核的全场景分布式操作系统。Huawei HarmonyOS WEB模块存在越界写入漏洞，攻击者可利用该漏洞导致机密性、可用性受影响。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-17169

5、D-Link DI-8003缓冲区溢出漏洞（CNVD-2026-17657）

D-Link DI-8003是中国友讯（D-Link）公司的一款无线路由器。D-Link DI-8003存在缓冲区溢出漏洞。该漏洞是由于/yyxz_dlink.asp端点中的参数边界检查不正确造成的，攻击者可利用该漏洞导致拒绝服务。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-17657

说明：关注度分析由CNVD根据互联网用户对CNVD漏洞信息查阅情况以及产品应用广泛情况综合评定。

阅读原文

跳转微信打开

]]> Mon, 20 Apr 2026 17:45:00 +0800 CNVD漏洞周报2026年第14期 https://mp.weixin.qq.com/s?__biz=MzU3ODM2NTg2Mg==&mid=2247496841&idx=1&sn=8608e4497450755acb1095ce7582ee75 国家信息安全漏洞共享平台（以下简称CNVD）本周共收集、整理信息安全漏洞583个，其中高危漏洞300个、中危漏洞238个、低危漏洞45个。 原创 CNVD 2026-04-13 17:27 北京

国家信息安全漏洞共享平台（以下简称CNVD）本周共收集、整理信息安全漏洞583个，其中高危漏洞300个、中危漏洞238个、低危漏洞45个。

2026年04月06日-2026年04月12日

本周漏洞态势研判情况

本周信息安全漏洞威胁整体评价级别为中。

国家信息安全漏洞共享平台（以下简称CNVD）本周共收集、整理信息安全漏洞583个，其中高危漏洞300个、中危漏洞238个、低危漏洞45个。漏洞平均分值为6.64。本周收录的漏洞中，涉及0day漏洞411个（占70%），其中互联网上出现“D-Link DIR-513堆栈缓冲区溢出漏洞（CNVD-2026-16146、CNVD-2026-16147）”等零日代码攻击漏洞。本周CNVD接到的涉及党政机关和企事业单位的漏洞总数6548个，与上周（4795个）环比增加37%。

‍图1CNVD收录漏洞近10周平均分值分布图

图2CNVD 0day漏洞总数按周统计

本周漏洞事件处置情况

本周，CNVD向银行、保险、能源等重要行业单位通报漏洞事件6起，向基础电信企业通报漏洞事件2起，协调CNCERT各分中心验证和处置涉及地方重要部门漏洞事件124起，协调教育行业应急组织验证和处置高校科研院所系统漏洞事件12起，向国家上级信息安全协调机构上报涉及部委门户、子站或直属单位信息系统漏洞事件26起。

图3CNVD各行业漏洞处置情况按周统计

图4CNCERT各分中心处置情况按周统计

图5CNVD教育行业应急组织处置情况按周统计

此外，CNVD通过已建立的联系机制或涉事单位公开联系渠道向以下单位通报了其信息系统或软硬件产品存在的漏洞，具体处置单位情况如下所示：

安科瑞电气股份有限公司、北京邦永科技有限公司、北京金和网络股份有限公司、北京敲敲云科技有限公司、北京神州视翰科技有限公司、北京世纪超星信息技术发展有限责任公司、北京小米科技有限责任公司、北京亿赛通科技发展有限责任公司、北京长京益康信息科技有限公司、北京中农信达信息技术有限公司、比亚迪股份有限公司、畅捷通信息技术股份有限公司、富士胶片商业创新（中国）有限公司、格兰菲智能科技股份有限公司、广东堡塔安全技术有限公司、广州齐博网络科技有限公司、杭州飞致云信息科技有限公司、杭州海康威视数字技术股份有限公司、济南驰骋信息技术有限公司、佳能（中国）有限公司、乐金电子（中国）有限公司、厦门四信通信科技有限公司、厦门天锐科技股份有限公司、上海伯俊软件科技有限公司、上海泛微网络科技股份有限公司、上海华测导航技术股份有限公司、深圳华磊物流通信息科技有限公司、深圳市吉祥腾达科技有限公司、深圳市蓝凌软件股份有限公司、深圳市明源云科技有限公司、深圳市深科特信息技术有限公司、腾讯安全应急响应中心、天津黑核科技有限公司、武汉青鸟智安科技有限公司、友讯电子设备（上海）有限公司和浙江舜云互联技术有限公司。

本周漏洞报送情况统计

本周报送情况如表1所示。其中，新华三技术有限公司、华为技术有限公司、深信服科技股份有限公司、北京数字观星科技有限公司、阿里云计算有限公司等单位报送公开收集的漏洞数量较多。成都卫士通信息安全技术有限公司、江苏金盾检测技术股份有限公司、成都久信信息技术股份有限公司、360漏洞研究院、交通运输部北海航海保障中心、国家能源投资集团有限责任公司、深圳天溯计量检测股份有限公司、河北方维网络技术有限公司、中孚安全技术有限公司、平安银河实验室、中国联合网络通信有限公司深圳市分公司、重庆市通信产业服务有限公司智博创为网安分公司、北京山石网科信息技术有限公司、中电福富信息科技有限公司、极海微电子股份有限公司、字节跳动安全中心、江苏锋刃信息科技有限公司、福州启云信息技术有限公司、济南三泽信息安全测评有限公司、中资网络信息安全科技有限公司及其他个人白帽子向CNVD提交了6548个以事件型漏洞为主的原创漏洞，其中包括奇安信网神（补天平台）、斗象科技（漏洞盒子）向CNVD共享的白帽子报送5376条原创漏洞信息。

表1漏洞报送情况统计表

本周漏洞按类型和厂商统计

本周，CNVD收录了583个漏洞。WEB应用221个，应用程序201个，网络设备（交换机、路由器等网络端设备）118个，数据库17个，操作系统12个，安全产品7个，智能设备（物联网终端设备）6个，区块链1个。

表2漏洞按影响类型统计表

图6本周漏洞按影响类型分布

CNVD整理和发布的漏洞涉及Adobe、OpenClaw、杭州海康威视数字技术股份有限公司等多家厂商的产品，部分漏洞数量按厂商统计如表3所示。

表3漏洞产品涉及厂商分布统计表

本周行业漏洞收录情况

本周，CNVD收录了7个电信行业漏洞，5个移动互联网行业漏洞，6个工控行业漏洞（如下图所示）。其中，“Delta Electronics DIAView命令注入漏洞、Delta Electronics DVP-12SE11T越界写入漏洞”等漏洞的综合评级为“高危”。相关厂商已经发布了漏洞的修补程序，请参照CNVD相关行业漏洞库链接。

电信行业漏洞链接：http://telecom.cnvd.org.cn/

移动互联网行业漏洞链接：http://mi.cnvd.org.cn/

工控系统行业漏洞链接：http://ics.cnvd.org.cn/

图7电信行业漏洞统计

图8移动互联网行业漏洞统计

图9工控系统行业漏洞统计

本周重要漏洞安全告警

本周，CNVD整理和发布以下重要安全漏洞信息。

1、Adobe产品安全漏洞

Adobe Substance3D Stager是美国奥多比（Adobe）公司的一款3D场景的布景与渲染软件。Adobe Commerce是美国奥多比（Adobe）公司的一种面向商家和品牌的全球领先的数字商务解决方案。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞导致安全功能绕过，窃取受害者基于cookie的身份验证凭据，在当前用户环境下执行任意代码。

CNVD收录的相关漏洞包括：Adobe Substance3D Stager缓冲区溢出漏洞（CNVD-2026-16125、CNVD-2026-16124、CNVD-2026-16123、CNVD-2026-16127）、Adobe Commerce安全绕过漏洞（CNVD-2026-16580、CNVD-2026-16581）、Adobe Commerce跨站脚本漏洞（CNVD-2026-16586、CNVD-2026-16587）。其中，除“Adobe Commerce安全绕过漏洞（CNVD-2026-16581）”外其余漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-16125

https://www.cnvd.org.cn/flaw/show/CNVD-2026-16124

https://www.cnvd.org.cn/flaw/show/CNVD-2026-16123

https://www.cnvd.org.cn/flaw/show/CNVD-2026-16127

https://www.cnvd.org.cn/flaw/show/CNVD-2026-16580

https://www.cnvd.org.cn/flaw/show/CNVD-2026-16581

https://www.cnvd.org.cn/flaw/show/CNVD-2026-16586

https://www.cnvd.org.cn/flaw/show/CNVD-2026-16587

2、Mozilla产品安全漏洞

Mozilla Firefox是一款开源Web浏览器。Mozilla Thunderbird是一套从Mozilla Application Suite独立出来的电子邮件客户端软件。该软件支持IMAP、POP邮件协议以及HTML邮件格式。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞绕过安全限制，获取敏感信息，在系统上执行任意代码或导致拒绝服务。

CNVD收录的相关漏洞包括：Mozilla Firefox和Mozilla Thunderbird代码执行漏洞（CNVD-2026-16372）、Mozilla Firefox和Mozilla Thunderbird拒绝服务漏洞（CNVD-2026-16374、CNVD-2026-16375）、Mozilla Firefox和Mozilla Thunderbird资源管理错误漏洞（CNVD-2026-16373、CNVD-2026-16377）、Mozilla Firefox和Mozilla Thunderbird安全绕过漏洞（CNVD-2026-16378）、Mozilla Thunderbird信息泄露漏洞（CNVD-2026-16381）、Mozilla Firefox安全绕过漏洞（CNVD-2026-16601）。上述漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-16372

https://www.cnvd.org.cn/flaw/show/CNVD-2026-16374

https://www.cnvd.org.cn/flaw/show/CNVD-2026-16373

https://www.cnvd.org.cn/flaw/show/CNVD-2026-16375

https://www.cnvd.org.cn/flaw/show/CNVD-2026-16377

https://www.cnvd.org.cn/flaw/show/CNVD-2026-16378

https://www.cnvd.org.cn/flaw/show/CNVD-2026-16381

https://www.cnvd.org.cn/flaw/show/CNVD-2026-16601

3、IBM产品安全漏洞

IBM InfoSphere Information Server是IBM的企业级数据集成平台，用于整合、清洗和转换来自不同来源的数据。IBM Concert是美国国际商业机器（IBM）公司的一种新工具。使用生成式AI来帮助管理复杂的云原生应用程序。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞获取敏感信息等。

CNVD收录的相关漏洞包括：IBM InfoSphere Information Server信息泄露漏洞（CNVD-2026-16130、CNVD-2026-16129）、IBM Concert访问控制错误漏洞（CNVD-2026-16128）、IBM Concert加密问题漏洞（CNVD-2026-16134）、IBM InfoSphere Information Server加密问题漏洞、IBM InfoSphere Information Server信息泄露漏洞（CNVD-2026-16132、CNVD-2026-16131）、IBM Concert代码问题漏洞（CNVD-2026-16136）。其中，“IBM InfoSphere Information Server信息泄露漏洞（CNVD-2026-16130）”漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-16130

https://www.cnvd.org.cn/flaw/show/CNVD-2026-16129

https://www.cnvd.org.cn/flaw/show/CNVD-2026-16128

https://www.cnvd.org.cn/flaw/show/CNVD-2026-16134

https://www.cnvd.org.cn/flaw/show/CNVD-2026-16133

https://www.cnvd.org.cn/flaw/show/CNVD-2026-16132

https://www.cnvd.org.cn/flaw/show/CNVD-2026-16131

https://www.cnvd.org.cn/flaw/show/CNVD-2026-16136

4、Microsoft产品安全漏洞

Microsoft Excel是美国微软（Microsoft）公司的一款Office套件中的电子表格处理软件。Microsoft SharePoint Server是美国微软（Microsoft）公司的一套企业业务协作平台。该平台用于对业务信息进行整合，并能够共享工作、与他人协同工作、组织项目和工作组、搜索人员和信息。Microsoft Dynamics 365 Customer Engagement是美国微软（Microsoft）公司的一套用于客户关系管理和业务流程自动化的企业级应用系统。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞获取敏感信息，提升权限，在系统上执行任意代码等。

CNVD收录的相关漏洞包括：Microsoft Excel代码执行漏洞（CNVD-2026-16152、CNVD-2026-16153）、Microsoft Excel信息泄露漏洞（CNVD-2026-16157）、Microsoft Excel权限提升漏洞（CNVD-2026-16158）、Microsoft SharePoint Server远程代码执行漏洞（CNVD-2026-16162、CNVD-2026-16163）、Microsoft SharePoint Server欺骗漏洞（CNVD-2026-16164）、Microsoft Dynamics 365 Customer Engagement SQL注入漏洞。其中，除“Microsoft Excel信息泄露漏洞（CNVD-2026-16157）”外其余漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-16152

https://www.cnvd.org.cn/flaw/show/CNVD-2026-16153

https://www.cnvd.org.cn/flaw/show/CNVD-2026-16157

https://www.cnvd.org.cn/flaw/show/CNVD-2026-16158

https://www.cnvd.org.cn/flaw/show/CNVD-2026-16162

https://www.cnvd.org.cn/flaw/show/CNVD-2026-16163

https://www.cnvd.org.cn/flaw/show/CNVD-2026-16164

https://www.cnvd.org.cn/flaw/show/CNVD-2026-16625

5、TRENDnet TEW-800MB命令注入漏洞

TRENDnet TEW-800MB是美国趋势网络（TRENDnet）公司的一款双频无线路由器。本周，TRENDnet TEW-800MB被披露存在命令注入漏洞，该漏洞源于文件NTPSyncWithHost.cgi中函数sub_F934的错误操作，攻击者可利用该漏洞在系统上执行任意命令。CNVD提醒广大用户随时关注厂商主页，以获取最新版本。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-16145

小结：本周，Adobe产品被披露存在多个漏洞，攻击者可利用漏洞绕过安全限制，获取敏感信息，在系统上执行任意代码或导致拒绝服务。此外，Mozilla、IBM、 Microsoft等多款产品被披露存在多个漏洞，攻击者可利用漏洞绕过安全限制，获取敏感信息，提升权限，在系统上执行任意代码或导致拒绝服务等。另外，TRENDnet TEW-800MB被披露存在命令注入漏洞，攻击者可利用该漏洞在系统上执行任意命令。建议相关用户随时关注上述厂商主页，及时获取修复补丁或解决方案。

本周重要漏洞攻击验证情况

本周，CNVD建议注意防范以下已公开漏洞攻击验证情况。

1、D-Link DIR-513堆栈缓冲区溢出漏洞（CNVD-2026-16146）

验证描述

D-Link DIR-513是中国友讯（D-Link）公司的一款无线路由器产品。

D-Link DIR-513存在堆栈缓冲区溢出漏洞，该漏洞源于文件goform/formSetQoS中参数curTime未能正确验证输入数据的长度大小，攻击者可利用该漏洞在系统上执行任意代码或者导致拒绝服务。

验证信息

POC链接：

https://github.com/akuma-QAQ/CVEreport/tree/main/D-link/CVE-2025-70234

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-16146

信息提供者

新华三技术有限公司

注：以上验证信息(方法)可能带有攻击性，仅供安全研究之用。请广大用户加强对漏洞的防范工作，尽快下载相关补丁。

关于CNVD

国家信息安全漏洞共享平台（ChinaNationalVulnerabilityDatabase，简称CNVD）是由CNCERT联合国内重要信息系统单位、基础电信运营商、网络安全厂商、软件厂商和互联网企业建立的国家网络安全漏洞库，致力于建立国家统一的信息安全漏洞收集、发布、验证、分析等应急处理体系。

关于CNCERT

国家计算机网络应急技术处理协调中心（简称“国家互联网应急中心”，英文简称是CNCERT或CNCERT/CC），成立于2002年9月，为非政府非盈利的网络安全技术中心，是我国计算机网络应急处理体系中的牵头单位。

作为国家级应急中心，CNCERT的主要职责是：按照“积极预防、及时发现、快速响应、力保恢复”的方针，开展互联网网络安全事件的预防、发现、预警和协调处置等工作，维护国家公共互联网安全，保障基础信息网络和重要信息系统的安全运行。

网址：www.cert.org.cn

邮箱：vreport@cert.org.cn

电话：010-82991783

关注CNVD漏洞平台

阅读原文

跳转微信打开

]]> Mon, 13 Apr 2026 17:27:00 +0800 上周关注度较高的产品安全漏洞(20260406-20260412) https://mp.weixin.qq.com/s?__biz=MzU3ODM2NTg2Mg==&mid=2247496841&idx=2&sn=919149cb1306363172c34cb692a13da1 上周关注度较高的产品安全漏洞(20260406-20260412) 原创 CNVD 2026-04-13 17:27 北京

上周关注度较高的产品安全漏洞(20260406-20260412)

一、境外厂商产品漏洞

1、TeamViewer DEX Client拒绝服务漏洞

TeamViewer DEX Client是德国TeamViewer公司的一个数字化员工体验和终端管理软件。TeamViewer DEX Client 26.1之前版本存在拒绝服务漏洞，攻击者可利用该漏洞导致服务终止，造成拒绝服务。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-16660 

2、Adobe Commerce安全绕过漏洞（CNVD-2026-16578）

Adobe Commerce是美国奥多比（Adobe）公司的一种面向商家和品牌的全球领先的数字商务解决方案。Adobe Commerce存在安全绕过漏洞，攻击者可利用该漏洞导致安全功能绕过。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-16578 

3、Microsoft SharePoint Server远程代码执行漏洞（CNVD-2026-16163）

Microsoft SharePoint Server是美国微软（Microsoft）公司的一套企业业务协作平台。该平台用于对业务信息进行整合，并能够共享工作、与他人协同工作、组织项目和工作组、搜索人员和信息。Microsoft SharePoint Server存在远程代码执行漏洞，攻击者可利用该漏洞在系统上执行任意代码。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-16163 

4、Google Chrome内存错误引用漏洞（CNVD-2026-16151）

Google Chrome是美国谷歌（Google）公司的一款Web浏览器。Google Chrome存在内存错误引用漏洞，攻击者可利用该漏洞导致堆损坏。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-16151 

5、HCL AION代码执行漏洞（CNVD-2026-16411）

HCL AION是印度HCL公司的一款AI生命周期管理平台。HCL AION存在代码执行漏洞，该漏洞是由于内容安全策略中的缺陷引起的。攻击者可利用该漏洞内联执行任意脚本。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-16411

二、境内厂商产品漏洞

1、Delta Electronics DVP-12SE11T越界写入漏洞

Delta Electronics DVP-12SE11T是中国台达电子（Delta Electronics）公司的一款网络型主机。Delta Electronics DVP-12SE11T存在越界写入漏洞，目前没有详细的漏洞细节提供。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-16144 

2、Delta Electronics DVP15MC11T拒绝服务漏洞

Delta Electronics DVP15MC11T是中国台达电子（Delta Electronics）公司的一个多轴运动控制器。Delta Electronics DVP15MC11T存在拒绝服务漏洞，该漏洞源于未正确验证modbus/tcp数据包，攻击者可利用该漏洞导致拒绝服务。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-16143 

3、D-Link DIR-513堆栈缓冲区溢出漏洞（CNVD-2026-16147）

D-Link DIR-513是中国友讯（D-Link）公司的一款无线路由器产品。D-Link DIR-513存在堆栈缓冲区溢出漏洞，该漏洞源于文件goform/formSetWAN_Wizard51中参数curTime未能正确验证输入数据的长度大小，攻击者可利用该漏洞在系统上执行任意代码或者导致拒绝服务。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-16147 

4、TOTOLINK A3600R setNoticeCfg函数命令注入漏洞

TOTOLINK A3600R是中国吉翁电子（TOTOLINK）公司的一款6天线1200M无线路由器。TOTOLINK A3600R 4.1.2cu.5182_B20201102版本存在命令注入漏洞。该漏洞源于组件Parameter Handler中文件/cgi-bin/cstecgi.cgi的函数setNoticeCfg对参数NoticeUrl未能正确过滤构造命令特殊字符、命令等，攻击者可利用该漏洞导致任意命令执行。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-16678 

5、D-Link DIR-513堆栈缓冲区溢出漏洞（CNVD-2026-16146）

D-Link DIR-513是中国友讯（D-Link）公司的一款无线路由器产品。D-Link DIR-513存在堆栈缓冲区溢出漏洞，该漏洞源于文件goform/formSetQoS中参数curTime未能正确验证输入数据的长度大小，攻击者可利用该漏洞在系统上执行任意代码或者导致拒绝服务。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-16146 

说明：关注度分析由CNVD根据互联网用户对CNVD漏洞信息查阅情况以及产品应用广泛情况综合评定。

阅读原文

跳转微信打开

]]> Mon, 13 Apr 2026 17:27:00 +0800 CNVD漏洞周报2026年第13期 https://mp.weixin.qq.com/s?__biz=MzU3ODM2NTg2Mg==&mid=2247496824&idx=1&sn=b6ce3ee662fd4823ea71e96e15bbf91d 国家信息安全漏洞共享平台（以下简称CNVD）本周共收集、整理信息安全漏洞631个，其中高危漏洞282个、中危漏洞281个、低危漏洞68个。 原创 CNVD 2026-04-07 18:19 北京

国家信息安全漏洞共享平台（以下简称CNVD）本周共收集、整理信息安全漏洞631个，其中高危漏洞282个、中危漏洞281个、低危漏洞68个。

2026年03月30日-2026年04月05日

本周漏洞态势研判情况

本周信息安全漏洞威胁整体评价级别为中。

国家信息安全漏洞共享平台（以下简称CNVD）本周共收集、整理信息安全漏洞631个，其中高危漏洞282个、中危漏洞281个、低危漏洞68个。漏洞平均分值为6.28。本周收录的漏洞中，涉及0day漏洞490个（占78%），其中互联网上出现“Patient Record Management System SQL注入漏洞、Online Fire Reporting System SQL注入漏洞”等零日代码攻击漏洞。本周CNVD接到的涉及党政机关和企事业单位的漏洞总数4795个，与上周（5077个）环比减少6%。

‍图1CNVD收录漏洞近10周平均分值分布图

图2CNVD 0day漏洞总数按周统计

本周漏洞事件处置情况

本周，CNVD向银行、保险、能源等重要行业单位通报漏洞事件6起，向基础电信企业通报漏洞事件6起，协调CNCERT各分中心验证和处置涉及地方重要部门漏洞事件211起，协调教育行业应急组织验证和处置高校科研院所系统漏洞事件8起，向国家上级信息安全协调机构上报涉及部委门户、子站或直属单位信息系统漏洞事件29起。

图3CNVD各行业漏洞处置情况按周统计

图4CNCERT各分中心处置情况按周统计

图5CNVD教育行业应急组织处置情况按周统计

此外，CNVD通过已建立的联系机制或涉事单位公开联系渠道向以下单位通报了其信息系统或软硬件产品存在的漏洞，具体处置单位情况如下所示：

珠海奔图电子有限公司、重庆匠果科技有限公司、众勤通信设备贸易（上海）有限公司、中电科金仓（北京）科技股份有限公司、智互联（深圳）科技有限公司、郑州意象网络科技有限公司、郑州强墨信息科技有限公司、浙江和达科技股份有限公司、云智慧（北京）科技有限公司、友讯电子设备（上海）有限公司、用友网络科技股份有限公司、易智瑞信息技术有限公司、烟台晴好网络科技有限公司、熊猫智慧水务有限公司、武汉金同方科技有限公司、万洲电气股份有限公司、通州区华丽软件工作室、天智（苏州）智能系统有限公司、四联创业集团股份有限公司、深圳震有科技股份有限公司、深圳市四海众联网络科技有限公司、深圳市深科特信息技术有限公司、深圳市明源云科技有限公司、深圳市蓝凌软件股份有限公司、深圳市吉祥腾达科技有限公司、深圳市广联智通科技有限公司、深圳市必联电子有限公司、上汽通用五菱汽车股份有限公司、上海卓卓网络科技有限公司、上海易路软件有限公司、上海肯特仪表股份有限公司、上海华测导航技术股份有限公司、泛微网络科技股份有限公司、山东比特智能科技股份有限公司、厦门四信通信科技有限公司、厦门熵基科技有限公司、瑞纳智能设备股份有限公司、泉州市宏泰科技电子有限公司、青岛东胜伟业软件有限公司、普联技术有限公司、南京星远图科技有限公司、隆昌三皮网络科技有限公司、乐金电子（中国）有限公司、廊坊市极致网络科技有限公司、湖南翱云网络科技有限公司、杭州新中大科技股份有限公司、杭州西软信息技术有限公司、杭州九麒科技有限公司、哈尔滨新中新电子股份有限公司、广州市蓝海创新科技有限公司、广东保伦电子股份有限公司、高新兴科技集团股份有限公司、烽火通信科技股份有限公司、畅捷通信息技术股份有限公司、比亚迪股份有限公司、北京中农信达信息技术有限公司、北京长京益康信息科技有限公司、北京亿赛通科技发展有限责任公司、北京星网锐捷网络技术有限公司、北京通达信科科技有限公司、北京数据项素智能科技有限公司、北京圣博润高新技术股份有限公司、北京神州视翰科技有限公司、北京趋势威尔网络技术有限公司、北京奇构精益软件有限公司、北京金和网络股份有限公司、北京国炬信息技术有限公司、安科瑞电气股份有限公司、深圳市网策科技有限公司、安徽新华教育集团有限公司和阿里巴巴集团安全应急响应中心。

本周漏洞报送情况统计

本周报送情况如表1所示。其中，新华三技术有限公司、深信服科技股份有限公司、北京天融信网络安全技术有限公司、北京数字观星科技有限公司、南京众智维信息科技有限公司等单位报送公开收集的漏洞数量较多。成都卫士通信息安全技术有限公司、河南东方云盾信息技术有限公司、河北方维网络技术有限公司、北京安帝科技有限公司、中国电信股份有限公司研究院、国网浙江省电力有限公司、国网浙江省电力有限公司电力科学研究院、北京卓识网安技术股份有限公司、成都久信信息技术股份有限公司、星云博创科技有限公司、天翼云科技有限公司、陕西青山四纪信息技术有限公司、内蒙古旌云科技有限公司、天津市兴先道科技有限公司、深圳昂楷科技有限公司、贵州多彩网安科技有限公司、江苏锋刃信息科技有限公司及其他个人白帽子向CNVD提交了4795个以事件型漏洞为主的原创漏洞，其中包括奇安信网神（补天平台）、斗象科技（漏洞盒子）和三六零数字安全科技集团有限公司向CNVD共享的白帽子报送4152条原创漏洞信息。

表1漏洞报送情况统计表

本周漏洞按类型和厂商统计

本周，CNVD收录了631个漏洞。WEB应用280个，应用程序189个，网络设备（交换机、路由器等网络端设备）120个，操作系统18个，智能设备（物联网终端设备）12个，数据库8个，安全产品3个，车联网1个。

表2漏洞按影响类型统计表

图6本周漏洞按影响类型分布

CNVD整理和发布的漏洞涉及OpenClaw、深圳市吉祥腾达科技有限公司、友讯电子设备（上海）有限公司等多家厂商的产品，部分漏洞数量按厂商统计如表3所示。

表3漏洞产品涉及厂商分布统计表

本周行业漏洞收录情况

本周，CNVD收录了6个电信行业漏洞，9个移动互联网行业漏洞，2个工控行业漏洞（如下图所示）。其中，“Huawei HarmonyOS设备认证模块认证绕过漏洞、Delta Electronics COMMGR2拒绝服务漏洞”等漏洞的综合评级为“高危”。相关厂商已经发布了漏洞的修补程序，请参照CNVD相关行业漏洞库链接。

电信行业漏洞链接：http://telecom.cnvd.org.cn/

移动互联网行业漏洞链接：http://mi.cnvd.org.cn/

工控系统行业漏洞链接：http://ics.cnvd.org.cn/

图7电信行业漏洞统计

图8移动互联网行业漏洞统计

图9工控系统行业漏洞统计

本周重要漏洞安全告警

本周，CNVD整理和发布以下重要安全漏洞信息。

1、Microsoft产品安全漏洞

Microsoft Bing Images是美国微软（Microsoft）公司的一个在线图片搜索服务。Microsoft M365 Copilot是微软基于OpenAI技术开发的生成式AI助手。Microsoft Windows SMB Server是美国微软（Microsoft）公司的一个网络文件共享协议。它允许计算机上的应用程序读取和写入文件以及从计算机网络中的服务器程序请求服务。Microsoft Bing是美国微软（Microsoft）公司的一款网络搜索引擎。Microsoft Projected File System是美国微软（Microsoft）公司的一个应用系统。将层次结构数据投影到文件系统中，使其在文件系统中显示为文件和目录。Microsoft Broadcast DVR是美国微软（Microsoft）公司的一个Windows系统中负责后台录制、截取游戏片段及实时直播的核心多媒体组件。Microsoft .NET是一种用于构建多种应用的免费开源开发平台，主要用于构建多种类型的应用程序。Microsoft Office是美国微软（Microsoft）公司的一款办公软件套件产品。该产品常用组件包括Word、Excel、Access、Powerpoint、FrontPage等。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞获取敏感信息，提升权限，通过网络执行任意代码等。

CNVD收录的相关漏洞包括：Microsoft Bing Images命令注入漏洞、Microsoft M365 Copilot命令注入漏洞、Microsoft Windows SMB Server授权问题漏洞、Microsoft Bing操作系统命令注入漏洞、Microsoft Projected File System访问控制错误漏洞、Microsoft Broadcast DVR资源管理错误漏洞、Microsoft .NET拒绝服务漏洞、Microsoft Office资源管理错误漏洞（CNVD-2026-15420）。其中，除“Microsoft M365 Copilot命令注入漏洞、Microsoft Broadcast DVR资源管理错误漏洞”外其余漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-15412

https://www.cnvd.org.cn/flaw/show/CNVD-2026-15415

https://www.cnvd.org.cn/flaw/show/CNVD-2026-15414

https://www.cnvd.org.cn/flaw/show/CNVD-2026-15413

https://www.cnvd.org.cn/flaw/show/CNVD-2026-15419

https://www.cnvd.org.cn/flaw/show/CNVD-2026-15417

https://www.cnvd.org.cn/flaw/show/CNVD-2026-15421

https://www.cnvd.org.cn/flaw/show/CNVD-2026-15420

2、IBM产品安全漏洞

IBM Sterling Partner Engagement Manager是美国国际商业机器（IBM）公司的一个自动化管理工具。IBM InfoSphere Data Architect是美国国际商业机器（IBM）公司的一个数据建模与数据库设计的开发工具。IBM Aspera Orchestrator是美国国际商业机器（IBM）公司的一个基于Web的应用程序。可为数据驱动型企业提供高效的文件处理管道。IBM Aspera Faspex是美国国际商业机器（IBM）公司的一种用于快速的全球个人对个人文件交付和协作的解决方案。IBM Aspera faspio Gateway是美国国际商业机器（IBM）公司的一个数据高速传输软件。IBM MQ Appliance是美国国际商业机器（IBM）公司的一个预安装在专用、安全硬件上的IBM MQ软件。IBM InfoSphere Information Server是一种数据集成软件平台，能够帮助企业从散布在各个系统中的复杂异构信息获得更多价值。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞解密高度敏感信息，通过注入精心设计的有效载荷执行任意Web脚本或HTML。

CNVD收录的相关漏洞包括：IBM Sterling Partner Engagement Manager跨站脚本漏洞、IBM InfoSphere Data Architect跨站脚本漏洞、IBM Aspera Orchestrator跨站脚本漏洞（CNVD-2026-15592）、IBM Aspera Faspex跨站脚本漏洞（CNVD-2026-15591）、IBM Aspera faspio Gateway加密问题漏洞、IBM Aspera Faspex权限提升漏洞、IBM MQ Appliance加密问题漏洞、IBM InfoSphere Information Server存在XML外部实体注入漏洞。其中，“IBM Aspera faspio Gateway加密问题漏洞、IBM InfoSphere Information Server存在XML外部实体注入漏洞”漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-15590

https://www.cnvd.org.cn/flaw/show/CNVD-2026-15593

https://www.cnvd.org.cn/flaw/show/CNVD-2026-15592

https://www.cnvd.org.cn/flaw/show/CNVD-2026-15591

https://www.cnvd.org.cn/flaw/show/CNVD-2026-15595

https://www.cnvd.org.cn/flaw/show/CNVD-2026-15602

https://www.cnvd.org.cn/flaw/show/CNVD-2026-15601

https://www.cnvd.org.cn/flaw/show/CNVD-2026-15600

3、Google产品安全漏洞

Google Chrome是美国谷歌（Google）公司的一款Web浏览器。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞通过特制HTML页面绕过导航限制，通过特制Chrome Extension进行UI欺骗等。

CNVD收录的相关漏洞包括：Google Chrome安全绕过漏洞（CNVD-2026-15396、CNVD-2026-15397、CNVD-2026-15398、CNVD-2026-15399、CNVD-2026-15409、CNVD-2026-15408、CNVD-2026-15410）、Google Chrome越界读取漏洞（CNVD-2026-15402）。其中，“Google Chrome安全绕过漏洞（CNVD-2026-15396、CNVD-2026-15397）、Google Chrome越界读取漏洞（CNVD-2026-15402）”漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-15396

https://www.cnvd.org.cn/flaw/show/CNVD-2026-15397

https://www.cnvd.org.cn/flaw/show/CNVD-2026-15398

https://www.cnvd.org.cn/flaw/show/CNVD-2026-15399

https://www.cnvd.org.cn/flaw/show/CNVD-2026-15402

https://www.cnvd.org.cn/flaw/show/CNVD-2026-15409

https://www.cnvd.org.cn/flaw/show/CNVD-2026-15408

https://www.cnvd.org.cn/flaw/show/CNVD-2026-15410

4、Mozilla产品安全漏洞

Mozilla Firefox是一款开源Web浏览器。Mozilla Firefox ESR是Firefox（Web浏览器）的一个延长支持版本。Mozilla Thunderbird是一套从Mozilla Application Suite独立出来的电子邮件客户端软件。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞绕过安全限制，执行任意代码或导致拒绝服务。

CNVD收录的相关漏洞包括：多款Mozilla产品安全绕过漏洞（CNVD-2026-15383、CNVD-2026-15385、CNVD-2026-15387、CNVD-2026-15389）、多款Mozilla产品代码执行漏洞（CNVD-2026-15386、CNVD-2026-15388）、Mozilla Firefox和Mozilla Thunderbird代码执行漏洞、多款Mozilla产品整数溢出漏洞（CNVD-2026-15384）。其中，除“Mozilla Firefox和Mozilla Thunderbird代码执行漏洞”外其余漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-15383

https://www.cnvd.org.cn/flaw/show/CNVD-2026-15384

https://www.cnvd.org.cn/flaw/show/CNVD-2026-15385

https://www.cnvd.org.cn/flaw/show/CNVD-2026-15386

https://www.cnvd.org.cn/flaw/show/CNVD-2026-15387

https://www.cnvd.org.cn/flaw/show/CNVD-2026-15388

https://www.cnvd.org.cn/flaw/show/CNVD-2026-15389

https://www.cnvd.org.cn/flaw/show/CNVD-2026-15390

5、TOTOLINK WA300操作系统命令注入漏洞

TOTOLINK WA300是中国吉翁电子（TOTOLINK）公司的一款无线接入点。本周，TOTOLINK WA300被披露存在命令注入漏洞，该漏洞源于文件/cgi-bin/cstecgi.cgi中参数Ipaddr未能正确过滤构造命令特殊字符、命令等，攻击者可利用该漏洞导致任意命令执行。CNVD提醒广大用户随时关注厂商主页，以获取最新版本。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-15249

小结：本周，Microsoft产品被披露存在多个漏洞，攻击者可利用漏洞获取敏感信息，提升权限，通过网络执行任意代码等。此外，IBM、Google、Mozilla等多款产品被披露存在多个漏洞，攻击者可利用漏洞绕过安全限制，执行任意代码或导致拒绝服务等。另外，TOTOLINK WA300被披露存在命令注入漏洞，攻击者可利用该漏洞导致任意命令执行。建议相关用户随时关注上述厂商主页，及时获取修复补丁或解决方案。

本周重要漏洞攻击验证情况

本周，CNVD建议注意防范以下已公开漏洞攻击验证情况。

1、Patient Record Management System SQL注入漏洞

验证描述

Patient Record Management System是一个病历管理系统。

Patient Record Management System存在SQL注入漏洞，该漏洞源于程序未能正确过滤和处理用户输入。攻击者可利用该漏洞执行任意SQL命令，获取敏感数据或破坏数据库完整性。

验证信息

POC链接：

https://github.com/plj-sudo/cve/blob/main/README.md

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-15866

信息提供者

远江盛邦（北京）网络安全科技股份有限公司

注：以上验证信息(方法)可能带有攻击性，仅供安全研究之用。请广大用户加强对漏洞的防范工作，尽快下载相关补丁。

关于CNVD

国家信息安全漏洞共享平台（ChinaNationalVulnerabilityDatabase，简称CNVD）是由CNCERT联合国内重要信息系统单位、基础电信运营商、网络安全厂商、软件厂商和互联网企业建立的国家网络安全漏洞库，致力于建立国家统一的信息安全漏洞收集、发布、验证、分析等应急处理体系。

关于CNCERT

国家计算机网络应急技术处理协调中心（简称“国家互联网应急中心”，英文简称是CNCERT或CNCERT/CC），成立于2002年9月，为非政府非盈利的网络安全技术中心，是我国计算机网络应急处理体系中的牵头单位。

作为国家级应急中心，CNCERT的主要职责是：按照“积极预防、及时发现、快速响应、力保恢复”的方针，开展互联网网络安全事件的预防、发现、预警和协调处置等工作，维护国家公共互联网安全，保障基础信息网络和重要信息系统的安全运行。

网址：www.cert.org.cn

邮箱：vreport@cert.org.cn

电话：010-82991783

关注CNVD漏洞平台

阅读原文

跳转微信打开

]]> Tue, 07 Apr 2026 18:19:00 +0800 上周关注度较高的产品安全漏洞(20260330-20260405) https://mp.weixin.qq.com/s?__biz=MzU3ODM2NTg2Mg==&mid=2247496824&idx=2&sn=445ba48ab65e21063a3ae13a0b7b3df3 上周关注度较高的产品安全漏洞(20260330-20260405) 原创 CNVD 2026-04-07 18:19 北京

上周关注度较高的产品安全漏洞(20260330-20260405)

一、境外厂商产品漏洞

1、Google Chrome安全绕过漏洞（CNVD-2026-15410）

Google Chrome是美国谷歌（Google）公司的一款Web浏览器。Google Chrome存在安全绕过漏洞，该漏洞是由于Extensions程序中的策略执行不足造成的。攻击者可利用该漏洞通过特制Chrome Extension进行UI欺骗。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-15410

2、多款Mozilla产品安全绕过漏洞（CNVD-2026-15383）

Mozilla Firefox是一款开源Web浏览器。Mozilla Firefox ESR是Firefox（Web浏览器）的一个延长支持版本。Mozilla Thunderbird是一套从Mozilla Application Suite独立出来的电子邮件客户端软件。多款Mozilla产品存在安全绕过漏洞，攻击者可利用该漏洞绕过安全限制。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-15383

3、WordPress插件Abandoned Cart Recovery for WooCommerce跨站脚本漏洞

WordPress是一套使用PHP语言开发的博客平台。该平台具有在基于PHP和MySQL的服务器上架设个人博客网站的功能。WordPress plugin是一个应用插件。WordPress插件Abandoned Cart Recovery for WooCommerce存在跨站脚本漏洞，该漏洞源于应用对用户提供的数据缺乏有效过滤与转义，攻击者可利用该漏洞可以通过注入精心设计的有效载荷执行任意Web脚本或HTML。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-15843

4、HCL Aftermarket DPC文件上传漏洞

HCL Aftermarket DPC是印度HCL公司的一个数字化备件与售后服务管理平台。HCL Aftermarket DPC存在文件上传漏洞，该漏洞源于应用未对用户上传文件进行严格校验或过滤不严，攻击者可利用该漏洞上传并执行恶意脚本，从而完全控制服务器。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-15840

5、Google Chrome越界读取漏洞（CNVD-2026-15401）

Google Chrome是美国谷歌（Google）公司的一款Web浏览器。Google Chrome存在越界读取漏洞，攻击者可利用该漏洞导致通过特制HTML页面执行越界内存访问。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-15401

二、境内厂商产品漏洞

1、Delta Electronics COMMGR2堆栈缓冲区溢出漏洞

Delta Electronics COMMGR2是中国台达电子（Delta Electronics）公司的一个自动化设备通信管理软件。Delta Electronics COMMGR2存在堆栈缓冲区溢出漏洞，该漏洞是由于不正确的边界检查引起的。攻击者可利用该漏洞在系统上执行任意代码。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-15865

2、Huawei HarmonyOS扫描模块访问未初始化指针漏洞

Huawei HarmonyOS是中国华为（Huawei）公司的一个操作系统。提供一个基于微内核的全场景分布式操作系统。Huawei HarmonyOS扫描模块存在访问未初始化指针漏洞，攻击者可利用该漏洞导致可用性受影响。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-15375

3、ZTE ElasticNet UME R32 on Linux权限管理不当漏洞

ZTE ElasticNet UME R32是中国中兴通讯（ZTE）公司的一个业务管理与流量处理平台。ZTE ElasticNet UME R32 on Linux存在权限管理不当漏洞，攻击者可利用该漏洞导致访问未受ACL适当约束的功能。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-15861

4、Advantech WISE-6610操作系统命令注入漏洞

Advantech WISE-6610是中国台湾研华（Advantech）公司的一个核心网关设备。Advantech WISE-6610存在操作系统命令注入漏洞，该漏洞源于对文件/cgi-bin/luci/admin/openvpn_apply中参数delete_file的错误操作，攻击者可利用该漏洞在系统上执行任意命令。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-15863

5、ZTE ZXCDN Struts远程代码执行漏洞

ZTE ZXCDN是中国中兴通讯（ZTE）公司的一款统一网络管理平台。ZTE ZXCDN存在Struts远程代码执行漏洞，攻击者可利用该漏洞使用非root权限远程执行命令。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-15862

说明：关注度分析由CNVD根据互联网用户对CNVD漏洞信息查阅情况以及产品应用广泛情况综合评定。

阅读原文

跳转微信打开

]]> Tue, 07 Apr 2026 18:19:00 +0800 CNVD漏洞周报2026年第12期 https://mp.weixin.qq.com/s?__biz=MzU3ODM2NTg2Mg==&mid=2247496809&idx=1&sn=2db62d67bc97271b6af9bf9845928dc2 国家信息安全漏洞共享平台（以下简称CNVD）本周共收集、整理信息安全漏洞400个，其中高危漏洞175个、中危漏洞200个、低危漏洞25个。 原创 CNVD 2026-03-30 17:06 北京

国家信息安全漏洞共享平台（以下简称CNVD）本周共收集、整理信息安全漏洞400个，其中高危漏洞175个、中危漏洞200个、低危漏洞25个。

2026年03月23日-2026年03月29日

本周漏洞态势研判情况

本周信息安全漏洞威胁整体评价级别为中。

国家信息安全漏洞共享平台（以下简称CNVD）本周共收集、整理信息安全漏洞400个，其中高危漏洞175个、中危漏洞200个、低危漏洞25个。漏洞平均分值为6.48。本周收录的漏洞中，涉及0day漏洞244个（占61%），其中互联网上出现“Belkin F9K1122堆栈缓冲区溢出漏洞（CNVD-2026-14686）、 Belkin F9K1015命令注入漏洞”等零日代码攻击漏洞。本周CNVD接到的涉及党政机关和企事业单位的漏洞总数5077个，与上周（5860个）环比减少13%。

‍图1CNVD收录漏洞近10周平均分值分布图

图2CNVD 0day漏洞总数按周统计

本周漏洞事件处置情况

本周，CNVD向银行、保险、能源等重要行业单位通报漏洞事件7起，向基础电信企业通报漏洞事件2起，协调CNCERT各分中心验证和处置涉及地方重要部门漏洞事件478起，协调教育行业应急组织验证和处置高校科研院所系统漏洞事件47起，向国家上级信息安全协调机构上报涉及部委门户、子站或直属单位信息系统漏洞事件48起。

图3CNVD各行业漏洞处置情况按周统计

图4CNCERT各分中心处置情况按周统计

图5CNVD教育行业应急组织处置情况按周统计

此外，CNVD通过已建立的联系机制或涉事单位公开联系渠道向以下单位通报了其信息系统或软硬件产品存在的漏洞，具体处置单位情况如下所示：

紫光股份有限公司、众勤通信设备贸易（上海）有限公司、浙江宇视科技有限公司、友讯电子设备（上海）有限公司、用友网络科技股份有限公司、新天科技股份有限公司、西安众邦网络科技有限公司、武汉金同方科技有限公司、武汉地大信息工程股份有限公司、武汉达梦数据库有限公司、无锡盟创网络科技有限公司、无锡安腾软件开发有限公司、万洲电气股份有限公司、腾讯安全应急响应中心、四川掌上时代科技有限公司、四川安控科技股份有限公司、深圳市有为信息技术发展有限公司、深圳市优必选科技股份有限公司、深圳市思迅软件股份有限公司、深圳市锐明技术股份有限公司、深圳市蓝凌软件股份有限公司、深圳市吉祥腾达科技有限公司、深圳市必联电子有限公司、深圳达实智能股份有限公司、深圳达实物联网技术有限公司、上海卓卓网络科技有限公司、上海迅时通信设备有限公司、上海华测导航技术股份有限公司、泛微网络科技股份有限公司、上海博达数据通信有限公司、厦门亿联网络技术股份有限公司、厦门四信通信科技有限公司、青果软件集团有限公司、麒麟软件有限公司、奇瑞汽车股份有限公司、普联技术有限公司、南京酷奇信息科技有限公司、摩莎科技（上海）有限公司、乐金电子（中国）有限公司、金蝶软件（中国）有限公司、佳能（中国）有限公司、吉翁电子（深圳）有限公司、杭州海康威视数字技术股份有限公司、杭州飞致云信息科技有限公司、广州市蓝海创新科技有限公司、广州科亿信息技术有限公司、广州凯玥服饰有限公司、广东保伦电子股份有限公司、富士胶片商业创新（中国）有限公司、福州银达云创信息科技有限公司、帆软软件有限公司、成都朗速科技有限公司、成都光大网络科技有限公司、畅捷通信息技术股份有限公司、北京中盛普阳科技发展有限公司、北京中农信达信息技术有限公司、北京中科商软软件有限公司、北京智谱华章科技股份有限公司、北京长京益康信息科技有限公司、北京亿赛通科技发展有限责任公司、北京万户软件技术有限公司、北京天弛网络有限公司、北京圣博润高新技术股份有限公司、北京神州视翰科技有限公司、北京竞业达数码科技股份有限公司、北京金和网络股份有限公司、北京嘉和美康信息技术有限公司、北京汉王智远科技有限公司、安科瑞电气股份有限公司和艾默生电气（中国）投资有限公司。

本周漏洞报送情况统计

本周报送情况如表1所示。其中，北京启明星辰信息安全技术有限公司、深信服科技股份有限公司、新华三技术有限公司、北京天融信网络安全技术有限公司、北京数字观星科技有限公司等单位报送公开收集的漏洞数量较多。成都卫士通信息安全技术有限公司、360漏洞研究院、河南东方云盾信息技术有限公司、蚂蚁金服（AFS）、河北方维网络技术有限公司、平安银河实验室、贵州多彩网安科技有限公司、北京卓识网安技术股份有限公司、济南三泽信息安全测评有限公司、北京航空航天大学、国网浙江省电力有限公司电力科学研究院、中国联合网络通信有限公司深圳市分公司、成都华软技术工程有限公司、成都久信信息技术股份有限公司、江苏金盾检测技术股份有限公司、中国电信股份有限公司上海研究院、成都栖云数安科技有限责任公司、中电福富信息科技有限公司、中资网络信息安全科技有限公司、陕西青山四纪信息技术有限公司、中华人民共和国上海海事局、江苏锋刃信息科技有限公司、重庆市通信产业服务有限公司智博创为网安分公司及其他个人白帽子向CNVD提交了5077个以事件型漏洞为主的原创漏洞，其中包括奇安信网神（补天平台）、斗象科技（漏洞盒子）和上海交大向CNVD共享的白帽子报送4022条原创漏洞信息。

表1漏洞报送情况统计表

本周漏洞按类型和厂商统计

本周，CNVD收录了400个漏洞。应用程序129个，WEB应用121个，网络设备（交换机、路由器等网络端设备）77个，操作系统44个，数据库19个，安全产品6个，智能设备（物联网终端设备）4个。

表2漏洞按影响类型统计表

图6本周漏洞按影响类型分布

CNVD整理和发布的漏洞涉及OpenClaw、Apple、Google等多家厂商的产品，部分漏洞数量按厂商统计如表3所示。

表3漏洞产品涉及厂商分布统计表

本周行业漏洞收录情况

本周，CNVD收录了5个电信行业漏洞，35个移动互联网行业漏洞，12个工控行业漏洞（如下图所示）。其中，“Rockwell Automation 432ES-IG3 Series A拒绝服务漏洞、Google Android权限提升漏洞（CNVD-2026-14650）”等漏洞的综合评级为“高危”。相关厂商已经发布了漏洞的修补程序，请参照CNVD相关行业漏洞库链接。

电信行业漏洞链接：http://telecom.cnvd.org.cn/

移动互联网行业漏洞链接：http://mi.cnvd.org.cn/

工控系统行业漏洞链接：http://ics.cnvd.org.cn/

图7电信行业漏洞统计

图8移动互联网行业漏洞统计

图9工控系统行业漏洞统计

本周重要漏洞安全告警

本周，CNVD整理和发布以下重要安全漏洞信息。

1、Adobe产品安全漏洞

Adobe Illustrator是美国奥多比（Adobe）公司的一套基于向量的图像制作软件。Adobe Premiere Pro是美国奥多比（Adobe）公司的一套非线性编辑的视频剪辑软件。Adobe Substance3D Designer是美国奥多比（Adobe）公司的一个纹理与材质创作软件。Adobe Audition是美国奥多比（Adobe）公司的一套多音轨编辑工具。该产品主要使用包含多音轨、波形和光谱显示的完善工具集对音频内容进行混音、编辑和创建等。Adobe Commerce是美国奥多比（Adobe）公司的一种面向商家和品牌的全球领先的数字商务解决方案。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞绕过安全措施并获取对数据的未授权查看访问，在系统上执行任意代码或导致应用程序崩溃等。

CNVD收录的相关漏洞包括：Adobe Illustrator堆栈缓冲区溢出漏洞（CNVD-2026-14501）、Adobe Illustrator堆缓冲区溢出漏洞（CNVD-2026-14502）、Adobe Premiere Pro越界读取漏洞（CNVD-2026-14503）、Adobe Substance3D Designer缓冲区溢出漏洞（CNVD-2026-14504）、Adobe Audition越界读取漏洞（CNVD-2026-14506）、Adobe Substance3D Designer越界写入漏洞、Adobe Audition越界写入漏洞（CNVD-2026-14508）、Adobe Commerce授权问题漏洞（CNVD-2026-15169）。其中，除“Adobe Audition越界读取漏洞（CNVD-2026-14506）”外其余漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-14501

https://www.cnvd.org.cn/flaw/show/CNVD-2026-14502

https://www.cnvd.org.cn/flaw/show/CNVD-2026-14503

https://www.cnvd.org.cn/flaw/show/CNVD-2026-14504

https://www.cnvd.org.cn/flaw/show/CNVD-2026-14506

https://www.cnvd.org.cn/flaw/show/CNVD-2026-14507

https://www.cnvd.org.cn/flaw/show/CNVD-2026-14508

https://www.cnvd.org.cn/flaw/show/CNVD-2026-15169

2、Apple产品安全漏洞

Apple iOS是一套为移动设备所开发的操作系统。Apple macOS是一套专为Mac计算机所开发的专用操作系统。Apple iPadOS是一套用于iPad平板电脑的操作系统。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞绕过安全限制，查看敏感用户信息，获取root权限，导致拒绝服务。

CNVD收录的相关漏洞包括：多款Apple产品权限提升漏洞（CNVD-2026-14476）、多款Apple产品拒绝服务漏洞（CNVD-2026-14482、CNVD-2026-14484、CNVD-2026-14486、CNVD-2026-14487）、多款Apple产品信息泄露漏洞（CNVD-2026-14485、CNVD-2026-14496）、多款Apple产品安全绕过漏洞（CNVD-2026-14493）。其中，除“多款Apple产品权限提升漏洞（CNVD-2026-14476）、多款Apple产品安全绕过漏洞（CNVD-2026-14493）、多款Apple产品信息泄露漏洞（CNVD-2026-14496）”外其余漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-14476

https://www.cnvd.org.cn/flaw/show/CNVD-2026-14482

https://www.cnvd.org.cn/flaw/show/CNVD-2026-14484

https://www.cnvd.org.cn/flaw/show/CNVD-2026-14485

https://www.cnvd.org.cn/flaw/show/CNVD-2026-14486

https://www.cnvd.org.cn/flaw/show/CNVD-2026-14487

https://www.cnvd.org.cn/flaw/show/CNVD-2026-14493

https://www.cnvd.org.cn/flaw/show/CNVD-2026-14496

3、Google产品安全漏洞

Google Chrome是由谷歌公司开发的一款免费网页浏览器。Google Android是美国谷歌（Google）公司的一套以Linux为基础的开源操作系统。本周，上述产品被披露存在跨站脚本漏洞，攻击者可利用漏洞提升权限，执行任意代码，导致拒绝服务等。

CNVD收录的相关漏洞包括：Google Chrome Web Speech越界读漏洞、Google Chrome Agents资源管理错误漏洞、Google Chrome WebMCP资源管理错误漏洞、Google Android访问控制错误漏洞（CNVD-2026-14643）、Google Android权限提升漏洞（CNVD-2026-14644、CNVD-2026-14649、CNVD-2026-14650）、Google Android拒绝服务漏洞（CNVD-2026-14647）。其中，除“Google Android权限提升漏洞（CNVD-2026-14644）、Google Android拒绝服务漏洞（CNVD-2026-14647）”外其余漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-14598

https://www.cnvd.org.cn/flaw/show/CNVD-2026-14597

https://www.cnvd.org.cn/flaw/show/CNVD-2026-14596

https://www.cnvd.org.cn/flaw/show/CNVD-2026-14643

https://www.cnvd.org.cn/flaw/show/CNVD-2026-14644

https://www.cnvd.org.cn/flaw/show/CNVD-2026-14647

https://www.cnvd.org.cn/flaw/show/CNVD-2026-14649

https://www.cnvd.org.cn/flaw/show/CNVD-2026-14650

4、IBM产品安全漏洞

IBM Db2是美国国际商业机器（IBM）公司的一套关系型数据库管理系统。该系统的执行环境主要有UNIX、Linux、IBMi、z/OS以及Windows服务器版本。本周，上述产品被披露存在拒绝服务漏洞，攻击者可利用漏洞导致拒绝服务。

CNVD收录的相关漏洞包括：IBM Db2拒绝服务漏洞（CNVD-2026-14669、CNVD-2026-14672、CNVD-2026-14673、CNVD-2026-14674、CNVD-2026-14675、CNVD-2026-14676、CNVD-2026-14678、CNVD-2026-14679）。其中，“IBM Db2拒绝服务漏洞（CNVD-2026-14669、CNVD-2026-14679）”漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-14669

https://www.cnvd.org.cn/flaw/show/CNVD-2026-14672

https://www.cnvd.org.cn/flaw/show/CNVD-2026-14673

https://www.cnvd.org.cn/flaw/show/CNVD-2026-14674

https://www.cnvd.org.cn/flaw/show/CNVD-2026-14675

https://www.cnvd.org.cn/flaw/show/CNVD-2026-14676

https://www.cnvd.org.cn/flaw/show/CNVD-2026-14678

https://www.cnvd.org.cn/flaw/show/CNVD-2026-14679

5、TRENDnet TEW-822DRE命令注入漏洞

TRENDnet TEW-822DRE是美国趋势网络（TRENDnet）公司的一款双频无线路由器。本周，TRENDnet TEW-822DRE存在命令注入漏洞，该漏洞源于文件/boafrm/formWsc中参数peerPin的错误操作，攻击者可利用该漏洞在系统上执行任意命令。CNVD提醒广大用户随时关注厂商主页，以获取最新版本。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-14683

小结：本周，Adobe产品被披露存在多个漏洞，攻击者可利用漏洞绕过安全措施并获取对数据的未授权查看访问，在系统上执行任意代码或导致应用程序崩溃等。此外，Apple、Google、IBM等多款产品被披露存在多个漏洞，攻击者可利用漏洞绕过安全限制，查看敏感用户信息，提升权限，执行任意代码，导致拒绝服务等。另外，TRENDnet TEW-822DRE被披露存在命令注入漏洞，攻击者可利用该漏洞在系统上执行任意命令。建议相关用户随时关注上述厂商主页，及时获取修复补丁或解决方案。

本周重要漏洞攻击验证情况

本周，CNVD建议注意防范以下已公开漏洞攻击验证情况。

1、Belkin F9K1122堆栈缓冲区溢出漏洞（CNVD-2026-14686）

验证描述

Belkin F9K1122是一款WiFi信号扩展器。

Belkin F9K1122存在堆栈缓冲区溢出漏洞，该漏洞源于对文件/goform/formReboot中函数formReboot的参数webpage的错误操作，攻击者可利用该漏洞在系统上执行任意代码或者导致拒绝服务。

验证信息

POC链接：

https://github.com/Litengzheng/vul_db/blob/main/Belkin/vul_152/README.md

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-14686

信息提供者

新华三技术有限公司

注：以上验证信息(方法)可能带有攻击性，仅供安全研究之用。请广大用户加强对漏洞的防范工作，尽快下载相关补丁。

关于CNVD

国家信息安全漏洞共享平台（ChinaNationalVulnerabilityDatabase，简称CNVD）是由CNCERT联合国内重要信息系统单位、基础电信运营商、网络安全厂商、软件厂商和互联网企业建立的国家网络安全漏洞库，致力于建立国家统一的信息安全漏洞收集、发布、验证、分析等应急处理体系。

关于CNCERT

国家计算机网络应急技术处理协调中心（简称“国家互联网应急中心”，英文简称是CNCERT或CNCERT/CC），成立于2002年9月，为非政府非盈利的网络安全技术中心，是我国计算机网络应急处理体系中的牵头单位。

作为国家级应急中心，CNCERT的主要职责是：按照“积极预防、及时发现、快速响应、力保恢复”的方针，开展互联网网络安全事件的预防、发现、预警和协调处置等工作，维护国家公共互联网安全，保障基础信息网络和重要信息系统的安全运行。

网址：www.cert.org.cn

邮箱：vreport@cert.org.cn

电话：010-82991783

关注CNVD漏洞平台

阅读原文

跳转微信打开

]]> Mon, 30 Mar 2026 17:06:00 +0800 上周关注度较高的产品安全漏洞(20260323-20260329) https://mp.weixin.qq.com/s?__biz=MzU3ODM2NTg2Mg==&mid=2247496809&idx=2&sn=bfe39e048853c801b423b3c8d8b6b845 上周关注度较高的产品安全漏洞(20260323-20260329) 原创 CNVD 2026-03-30 17:06 北京

上周关注度较高的产品安全漏洞(20260323-20260329)

一、境外厂商产品漏洞

1、多款Apple产品代码执行漏洞（CNVD-2026-14497）

Apple iOS是一套为移动设备所开发的操作系统。Apple tvOS是一套智能电视操作系统。Apple watchOS是一套智能手表操作系统。多款Apple产品存在代码执行漏洞，攻击者可利用该漏洞执行任意代码。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-14497

2、IBM Db2拒绝服务漏洞（CNVD-2026-14675）

IBM Db2是美国国际商业机器（IBM）公司的一套关系型数据库管理系统。该系统的执行环境主要有UNIX、Linux、IBMi、z/OS以及Windows服务器版本。IBM Db2存在拒绝服务漏洞，该漏洞源于数据查询逻辑中对特殊元素中和不当，攻击者可利用该漏洞导致拒绝服务。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-14675

3、TRENDnet TEW-657BRM命令注入漏洞

TRENDnet TEW-657BRM是美国趋势网络（TRENDnet）公司的一个WiFi路由器。TRENDnet TEW-657BRM存在命令注入漏洞，该漏洞是由于setup.cgi二进制文件中的缺陷引起的。攻击者可以利用该漏洞在系统上执行任意操作系统命令。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-14684

4、Adobe Commerce授权问题漏洞（CNVD-2026-15170）

Adobe Commerce是美国奥多比（Adobe）公司的一种面向商家和品牌的全球领先的数字商务解决方案。Adobe Commerce存在授权问题漏洞，攻击者可利用该漏洞绕过安全措施并获取对功能的有限未授权访问。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-15170

5、多款Apple产品信息泄露漏洞（CNVD-2026-14495）

Apple iOS是一套为移动设备所开发的操作系统。Apple macOS是一套专为Mac计算机所开发的专用操作系统。Apple iPadOS是一套用于iPad平板电脑的操作系统。多款Apple产品存在信息泄露漏洞，该漏洞是由于访问特制网站时WebKit组件中的问题造成的。攻击者可利用该漏洞通过Safari扩展跟踪用户。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-14495

二、境内厂商产品漏洞

1、TOTOLINK WA300操作系统命令注入漏洞

TOTOLINK WA300是中国吉翁电子（TOTOLINK）公司的一款无线接入点。TOTOLINK WA300存在操作系统命令注入漏洞，该漏洞源于文件/cgi-bin/cstecgi.cgi中参数Ipaddr未能正确过滤构造命令特殊字符、命令等。攻击者可利用该漏洞导致任意命令执行。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-15249

2、ZTE MF258K Pro配置缺陷漏洞

ZTE MF258K Pro是中国中兴通讯（ZTE）公司的一款4G室外网桥套件。ZTE MF258K Pro存在配置缺陷漏洞，该漏洞源于目录权限设置不当，攻击者可利用该漏洞导致执行写入操作。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-15251

3、Huawei HarmonyOS设备认证模块认证绕过漏洞

Huawei HarmonyOS是中国华为（Huawei）公司的一个操作系统。提供一个基于微内核的全场景分布式操作系统。Huawei HarmonyOS设备认证模块存在认证绕过漏洞，攻击者可利用该漏洞导致完整性和机密性受影响。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-15248

4、ZTE ZXMP M721私钥泄露漏洞

ZTE ZXMP M721是中国中兴通讯（ZTE）公司的一款城域边缘OTN（光传送网）设备。ZTE ZXMP M721存在私钥泄露漏洞，该漏洞源于低权限用户可绕过授权检查查看设备通信私钥，攻击者可利用该漏洞导致密钥泄露并影响通信安全。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-15252

5、Huawei HarmonyOS证书管理模块数据处理漏洞

Huawei HarmonyOS是中国华为（Huawei）公司的一个操作系统。提供一个基于微内核的全场景分布式操作系统。Huawei HarmonyOS证书管理模块存在数据处理漏洞，攻击者可利用该漏洞导致机密性受影响。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-15250

说明：关注度分析由CNVD根据互联网用户对CNVD漏洞信息查阅情况以及产品应用广泛情况综合评定。

阅读原文

跳转微信打开

]]> Mon, 30 Mar 2026 17:06:00 +0800 CNVD漏洞周报2026年第11期 https://mp.weixin.qq.com/s?__biz=MzU3ODM2NTg2Mg==&mid=2247496792&idx=1&sn=eecb977192773972606f6b9b93bb5ea1 国家信息安全漏洞共享平台（以下简称CNVD）本周共收集、整理信息安全漏洞476个，其中高危漏洞207个、中危漏洞243个、低危漏洞26个。 原创 CNVD 2026-03-23 18:00 北京

国家信息安全漏洞共享平台（以下简称CNVD）本周共收集、整理信息安全漏洞476个，其中高危漏洞207个、中危漏洞243个、低危漏洞26个。

2026年03月16日-2026年03月22日

本周漏洞态势研判情况

本周信息安全漏洞威胁整体评价级别为中。

国家信息安全漏洞共享平台（以下简称CNVD）本周共收集、整理信息安全漏洞476个，其中高危漏洞207个、中危漏洞243个、低危漏洞26个。漏洞平均分值为6.62。本周收录的漏洞中，涉及0day漏洞303个（占64%），其中互联网上出现“Travel management System viewpackage.php文件SQL注入漏洞、Apartment Visitors Management System跨站脚本漏洞（CNVD-2026-13799）”等零日代码攻击漏洞。本周CNVD接到的涉及党政机关和企事业单位的漏洞总数5860个，与上周（8047个）环比减少27%。

‍图1CNVD收录漏洞近10周平均分值分布图

图2CNVD 0day漏洞总数按周统计

本周漏洞事件处置情况

本周，CNVD向银行、保险、能源等重要行业单位通报漏洞事件2起，向基础电信企业通报漏洞事件1起，协调CNCERT各分中心验证和处置涉及地方重要部门漏洞事件344起，协调教育行业应急组织验证和处置高校科研院所系统漏洞事件3起，向国家上级信息安全协调机构上报涉及部委门户、子站或直属单位信息系统漏洞事件41起。

图3CNVD各行业漏洞处置情况按周统计

图4CNCERT各分中心处置情况按周统计

图5CNVD教育行业应急组织处置情况按周统计

此外，CNVD通过已建立的联系机制或涉事单位公开联系渠道向以下单位通报了其信息系统或软硬件产品存在的漏洞，具体处置单位情况如下所示：

众勤通信设备贸易（上海）有限公司、中科方德软件有限公司、智洋创新科技股份有限公司、浙江宇视科技有限公司、浙江省新华书店集团有限公司、浙江和达科技股份有限公司、云南奇讯科技有限公司、友讯电子设备（上海）有限公司、用友网络科技股份有限公司、研华科技（中国）有限公司、熊猫智慧水务有限公司、兄弟（中国）商业有限公司、新智聚安科技有限公司、新天科技股份有限公司、西安九佳易信息资讯有限公司、武汉天地伟业科技有限公司、网经科技（苏州）有限公司、万洲电气股份有限公司、万可电子（天津）有限公司、深圳市微耕实业有限公司、深圳市思迅软件股份有限公司、深圳市明源云科技有限公司、深圳市蓝凌软件股份有限公司、深圳市吉祥腾达科技有限公司、深圳市后天无限网络通信技术有限公司、深圳市道尔智控科技股份有限公司、深信服科技股份有限公司、上海熊猫机械（集团）有限公司、上海威派格智慧水务股份有限公司、上海桑锐电子科技股份有限公司、上海曼恒数字技术股份有限公司、上海华测导航技术股份有限公司、上海泛微网络科技股份有限公司、上海贝锐信息科技股份有限公司、上海百胜软件股份有限公司、山东科德电子有限公司、厦门天锐科技股份有限公司、厦门四信通信科技有限公司、三星（中国）投资有限公司、瑞斯康达科技发展股份有限公司、瑞纳智能设备股份有限公司、泉州市纳通智能科技有限公司、青岛三利中德美水设备有限公司、青岛东胜伟业软件有限公司、青岛澳科技术有限公司、普联技术有限公司、南京科远智慧科技集团股份有限公司、摩莎科技（上海）有限公司、理光（中国）投资有限公司、乐金电子（中国）有限公司、江苏盖森斯特信息科技有限公司、佳能（中国）有限公司、济南有人物联网技术有限公司、济南驰骋信息技术有限公司、惠普贸易（上海）有限公司、华硕电脑（上海）有限公司、湖南众合百易信息技术有限公司、恒生电子股份有限公司、河北先河环保科技股份有限公司、杭州雄伟科技开发股份有限公司、杭州九麒科技有限公司、杭州吉拉科技有限公司、杭州海康威视数字技术股份有限公司、杭州高达软件系统股份有限公司、杭州飞致云信息科技有限公司、贵州先知科技有限公司、贵州黔狐科技股份有限公司、广东保伦电子股份有限公司、高新兴科技集团股份有限公司、高通企业管理（上海）有限公司、福州银达云创信息科技有限公司、福建博思软件股份有限公司、烽火通信科技股份有限公司、鼎捷数智股份有限公司、畅捷通信息技术股份有限公司、禅道软件（杭州）有限公司、北京中农信达信息技术有限公司、北京中科商软软件有限公司、北京长京益康信息科技有限公司、北京友数聚科技有限公司、北京亿赛通科技发展有限责任公司、北京星网锐捷网络技术有限公司、北京小米科技有限责任公司、北京硕人时代科技股份有限公司、北京圣博润高新技术股份有限公司、北京神州视翰科技有限公司、北京三快科技有限公司、北京勤云科技发展有限公司、北京玛格泰克科技发展有限公司、北京竞业达数码科技股份有限公司、北京金和网络股份有限公司、北京华医网科技股份有限公司、北京汉王智远科技有限公司、北京帮安迪信息科技股份有限公司、北京安天网络安全技术有限公司、安美微客（上海）互联网科技有限公司、安科瑞电气股份有限公司、安徽中技国医医疗科技股份有限公司和爱普生（中国）有限公司。

本周漏洞报送情况统计

本周报送情况如表1所示。其中，新华三技术有限公司、深信服科技股份有限公司、北京启明星辰信息安全技术有限公司、北京天融信网络安全技术有限公司、安天科技集团股份有限公司等单位报送公开收集的漏洞数量较多。北京航空航天大学、成都卫士通信息安全技术有限公司、江苏金盾检测技术股份有限公司、河南东方云盾信息技术有限公司、成都久信信息技术股份有限公司、北京卓识网安技术股份有限公司、联想集团、重庆市通信产业服务有限公司智博创为网安分公司、沥泉科技(成都)有限公司、江苏讯安信息安全技术有限公司、贵州多彩网安科技有限公司、中资网络信息安全科技有限公司、深圳昂楷科技有限公司、中国互联网络信息中心、海光信息技术股份有限公司、北京双湃智安科技有限公司、中电福富信息科技有限公司及其他个人白帽子向CNVD提交了5860个以事件型漏洞为主的原创漏洞，其中包括奇安信网神（补天平台）、斗象科技（漏洞盒子）、三六零数字安全科技集团有限公司和上海交大向CNVD共享的白帽子报送5274条原创漏洞信息。

表1漏洞报送情况统计表

本周漏洞按类型和厂商统计

本周，CNVD收录了476个漏洞。WEB应用201个，应用程序124个，网络设备（交换机、路由器等网络端设备）86个，操作系统55个，安全产品4个，智能设备（物联网终端设备）3个，数据库3个。

表2漏洞按影响类型统计表

图6本周漏洞按影响类型分布

CNVD整理和发布的漏洞涉及Adobe、OpenClaw、北京金和网络股份有限公司等多家厂商的产品，部分漏洞数量按厂商统计如表3所示。

表3漏洞产品涉及厂商分布统计表

本周行业漏洞收录情况

本周，CNVD收录了4个电信行业漏洞，16个移动互联网行业漏洞，2个工控行业漏洞（如下图所示）。其中，“Huawei EMUI和Huawei HarmonyOS IMS模块越界写入漏洞、Google Android权限提升漏洞（CNVD-2026-13790）”等漏洞的综合评级为“高危”。相关厂商已经发布了漏洞的修补程序，请参照CNVD相关行业漏洞库链接。

电信行业漏洞链接：http://telecom.cnvd.org.cn/

移动互联网行业漏洞链接：http://mi.cnvd.org.cn/

工控系统行业漏洞链接：http://ics.cnvd.org.cn/

图7电信行业漏洞统计

图8移动互联网行业漏洞统计

图9工控系统行业漏洞统计

本周重要漏洞安全告警

本周，CNVD整理和发布以下重要安全漏洞信息。

1、IBM产品安全漏洞

IBM Cloud Pak System是美国国际商业机器（IBM）公司的一套具有可配置、预集成软件的全栈、融合基础架构。该产品支持跨混合云部署、管理和移动应用程序环境。IBM InfoSphere Information Server是美国国际商业机器（IBM）公司的一套数据整合平台。该平台可用于整合各种渠道获取的数据信息。IBM Concert是美国国际商业机器（IBM）公司的一种新工具。使用生成式AI来帮助管理复杂的云原生应用程序。IBM Db2是美国国际商业机器（IBM）公司的一套关系型数据库管理系统。该系统的执行环境主要有UNIX、Linux、IBMi、z/OS以及Windows服务器版本。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞获取敏感信息，导致未经授权的操作，注入任意JavaScript代码，篡改Web界面功能，导致可信会话中凭据泄露。

CNVD收录的相关漏洞包括：IBM Cloud Pak System信息泄露漏洞（CNVD-2026-13784）、IBM Cloud Pak System访问控制错误漏洞、IBM InfoSphere Information Server日志信息泄露漏洞、IBM Concert访问控制错误漏洞（CNVD-2026-13787）、IBM Concert信息泄露漏洞（CNVD-2026-13786）、IBM Db2资源管理错误漏洞（CNVD-2026-13789）、IBM Concert跨站脚本漏洞（CNVD-2026-13788、CNVD-2026-13785）。其中，“IBM Concert访问控制错误漏洞（CNVD-2026-13787）、IBM Db2资源管理错误漏洞（CNVD-2026-13789）”漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-13784

https://www.cnvd.org.cn/flaw/show/CNVD-2026-13783

https://www.cnvd.org.cn/flaw/show/CNVD-2026-13782

https://www.cnvd.org.cn/flaw/show/CNVD-2026-13787

https://www.cnvd.org.cn/flaw/show/CNVD-2026-13786

https://www.cnvd.org.cn/flaw/show/CNVD-2026-13785

https://www.cnvd.org.cn/flaw/show/CNVD-2026-13789

https://www.cnvd.org.cn/flaw/show/CNVD-2026-13788

2、Google产品安全漏洞

Google Chrome是由谷歌公司开发的一款免费网页浏览器。Google Android是美国谷歌（Google）公司的一套以Linux为基础的开源操作系统。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞执行任意代码，导致本地权限提升。

CNVD收录的相关漏洞包括：Google Chrome V8内存越界访问漏洞（CNVD-2026-13792）、Google Chrome WebCodecs堆溢出漏洞、Google Android权限提升漏洞（CNVD-2026-13790）、Google Chrome Skia整数溢出漏洞（CNVD-2026-13797）、Google Chrome DevTools堆破坏漏洞、Google Chrome WebAudio内存越界访问漏洞、Google Chrome CSS内存越界读漏洞、Google Chrome WebAssembly内存越界访问漏洞。上述漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-13792

https://www.cnvd.org.cn/flaw/show/CNVD-2026-13791

https://www.cnvd.org.cn/flaw/show/CNVD-2026-13790

https://www.cnvd.org.cn/flaw/show/CNVD-2026-13797

https://www.cnvd.org.cn/flaw/show/CNVD-2026-13796

https://www.cnvd.org.cn/flaw/show/CNVD-2026-13795

https://www.cnvd.org.cn/flaw/show/CNVD-2026-13794

https://www.cnvd.org.cn/flaw/show/CNVD-2026-13793

3、Adobe产品安全漏洞

Adobe Experience Manager（AEM）是美国奥多比（Adobe）公司的一套可用于构建网站、移动应用程序和表单的内容管理解决方案。该方案支持移动内容管理、营销销售活动管理和多站点管理等。本周，上述产品被披露存在跨站脚本漏洞，攻击者可利用漏洞执行任意JavaScript。

CNVD收录的相关漏洞包括：Adobe Experience Manager跨站脚本漏洞（CNVD-2026-13943、CNVD-2026-13945、CNVD-2026-13944、CNVD-2026-13946、CNVD-2026-13947、CNVD-2026-13950、CNVD-2026-13949、CNVD-2026-13952）。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-13943

https://www.cnvd.org.cn/flaw/show/CNVD-2026-13945

https://www.cnvd.org.cn/flaw/show/CNVD-2026-13944

https://www.cnvd.org.cn/flaw/show/CNVD-2026-13946

https://www.cnvd.org.cn/flaw/show/CNVD-2026-13947

https://www.cnvd.org.cn/flaw/show/CNVD-2026-13950

https://www.cnvd.org.cn/flaw/show/CNVD-2026-13949

https://www.cnvd.org.cn/flaw/show/CNVD-2026-13952

4、Huawei产品安全漏洞

Huawei HarmonyOS是中国华为（Huawei）公司的一个操作系统。提供一个基于微内核的全场景分布式操作系统。Huawei EMUI是一款基于Android开发的移动端操作系统。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞导致输入功能受影响，机密性受影响等。

CNVD收录的相关漏洞包括：Huawei HarmonyOS hiview模块缺少数据校验漏洞、Huawei HarmonyOS打印模块权限控制不当漏洞、Huawei HarmonyOS多模输入模块双重释放漏洞、Huawei HarmonyOS备忘录模块权限控制漏洞（CNVD-2026-13996、CNVD-2026-13989）、Huawei EMUI和Huawei HarmonyOS系统服务框架权限绕过漏洞、Huawei EMUI和Huawei HarmonyOS电子邮件应用校验不当漏洞、Huawei HarmonyOS资源调度模块权限控制漏洞。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-13985

https://www.cnvd.org.cn/flaw/show/CNVD-2026-13989

https://www.cnvd.org.cn/flaw/show/CNVD-2026-13991

https://www.cnvd.org.cn/flaw/show/CNVD-2026-13994

https://www.cnvd.org.cn/flaw/show/CNVD-2026-13996

https://www.cnvd.org.cn/flaw/show/CNVD-2026-13997

https://www.cnvd.org.cn/flaw/show/CNVD-2026-13998

https://www.cnvd.org.cn/flaw/show/CNVD-2026-14007

5、Tenda W20E doSystemCmd命令注入漏洞

Tenda W20E是腾达（Tenda）推出的一款企业级无线路由器。本周，Tenda W20E被披露存在命令注入漏洞，攻击者可利用该漏洞执行任意命令。目前，厂商尚未发布上述漏洞的修补程序。CNVD提醒广大用户随时关注厂商主页，以获取最新版本。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-14009

小结：本周，IBM产品被披露存在多个漏洞，攻击者可利用漏洞获取敏感信息，导致未经授权的操作，注入任意JavaScript代码，篡改Web界面功能，导致可信会话中凭据泄露。此外，Google、Adobe、Huawei等多款产品被披露存在多个漏洞，攻击者可利用漏洞执行任意JavaScript，执行任意代码，导致本地权限提升等。另外，Tenda W20E被披露存在命令注入漏洞，攻击者可利用该漏洞执行任意命令。建议相关用户随时关注上述厂商主页，及时获取修复补丁或解决方案。

本周重要漏洞攻击验证情况

本周，CNVD建议注意防范以下已公开漏洞攻击验证情况。

1、Travel management System viewpackage.php文件SQL注入漏洞

验证描述

Travel Management System是一个差旅管理系统。

Travel Management System存在SQL注入漏洞，该漏洞源于文件/viewpackage.php中参数t1缺少对外部输入SQL语句的验证。攻击者可利用该漏洞执行非法SQL命令窃取数据库敏感数据。

验证信息

POC链接：

https://github.com/JunGu-W/cve/issues/10

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-13798

信息提供者

新华三技术有限公司

注：以上验证信息(方法)可能带有攻击性，仅供安全研究之用。请广大用户加强对漏洞的防范工作，尽快下载相关补丁。

关于CNVD

国家信息安全漏洞共享平台（ChinaNationalVulnerabilityDatabase，简称CNVD）是由CNCERT联合国内重要信息系统单位、基础电信运营商、网络安全厂商、软件厂商和互联网企业建立的国家网络安全漏洞库，致力于建立国家统一的信息安全漏洞收集、发布、验证、分析等应急处理体系。

关于CNCERT

国家计算机网络应急技术处理协调中心（简称“国家互联网应急中心”，英文简称是CNCERT或CNCERT/CC），成立于2002年9月，为非政府非盈利的网络安全技术中心，是我国计算机网络应急处理体系中的牵头单位。

作为国家级应急中心，CNCERT的主要职责是：按照“积极预防、及时发现、快速响应、力保恢复”的方针，开展互联网网络安全事件的预防、发现、预警和协调处置等工作，维护国家公共互联网安全，保障基础信息网络和重要信息系统的安全运行。

网址：www.cert.org.cn

邮箱：vreport@cert.org.cn

电话：010-82991783

关注CNVD漏洞平台

阅读原文

跳转微信打开

]]> Mon, 23 Mar 2026 18:00:00 +0800 上周关注度较高的产品安全漏洞(20260316-20260322) https://mp.weixin.qq.com/s?__biz=MzU3ODM2NTg2Mg==&mid=2247496792&idx=2&sn=ba909405a6af97022c0d588795a9acca 上周关注度较高的产品安全漏洞(20260316-20260322) 原创 CNVD 2026-03-23 18:00 北京

上周关注度较高的产品安全漏洞(20260316-20260322)

一、境外厂商产品漏洞

1、Adobe Experience Manager跨站脚本漏洞（CNVD-2026-13966）

Adobe Experience Manager（AEM）是美国奥多比（Adobe）公司的一套可用于构建网站、移动应用程序和表单的内容管理解决方案。该方案支持移动内容管理、营销销售活动管理和多站点管理等。Adobe Experience Manager存在跨站脚本漏洞，该漏洞产生的原因是AEM在处理用户输入时未对输入进行过滤与输出转义。攻击者可利用该漏洞执行任意JavaScript。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-13966

2、WordPress插件Permalink Manager Lite信息泄露漏洞

WordPress是一套使用PHP语言开发的博客平台。该平台具有在基于PHP和MySQL的服务器上架设个人博客网站的功能。WordPress plugin是一个应用插件。WordPress插件Permalink Manager Lite存在信息泄露漏洞，该漏洞源于在发送数据中插入了敏感信息，攻击者可利用该漏洞导致检索嵌入的敏感数据。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-14146

3、IBM Concert跨站脚本漏洞（CNVD-2026-13788）

IBM Concert是美国国际商业机器（IBM）公司的一种新工具。使用生成式AI来帮助管理复杂的云原生应用程序。IBM Concert存在跨站脚本漏洞，该漏洞源于对HOST标头的输入验证不当，攻击者可利用该漏洞可以通过注入精心设计的有效载荷执行任意Web脚本或HTML。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-13788

4、Google Chrome Skia整数溢出漏洞（CNVD-2026-13797）

Google Chrome是由谷歌公司开发的一款免费网页浏览器。Google Chrome Skia存在整数溢出漏洞，该漏洞源于整数值处理不当，远程攻击者可利用该漏洞执行任意代码。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-13797

5、IBM Db2资源管理错误漏洞（CNVD-2026-13789）

IBM Db2是美国国际商业机器（IBM）公司的一套关系型数据库管理系统。该系统的执行环境主要有UNIX、Linux、IBMi、z/OS以及Windows服务器版本。IBM Db2存在资源管理错误漏洞，该漏洞源于经过身份验证的用户可利用资源分配不当，攻击者可利用该漏洞导致拒绝服务。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-13789

二、境内厂商产品漏洞

1、Huawei HarmonyOS备忘录模块权限控制漏洞（CNVD-2026-13996）

Huawei HarmonyOS是中国华为（Huawei）公司的一个操作系统。提供一个基于微内核的全场景分布式操作系统。Huawei HarmonyOS备忘录模块存在权限控制漏洞，攻击者可利用该漏洞导致机密性受影响。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-13996

2、厦门熵基科技有限公司人证魔方身份认证管理系统存在SQL注入漏洞

人证魔方身份认证管理系统是熵基科技为“人证合一”而自主研发的“实人制”核验软件系统，软件快速读取二代身份证、港澳居民居住证、外国人永居证等证件信息，现场比对持证人的指纹或面部，完成“人证合一”验证，快速、准确地核验用户身份信息。厦门熵基科技有限公司人证魔方身份认证管理系统存在SQL注入漏洞，攻击者可利用该漏洞获取数据库敏感信息。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-11369

3、上海百胜软件股份有限公司E3全渠道中台存在信息泄露漏洞

E3全渠道中台是一款面向中大型企业的全渠道新零售解决方案产品。上海百胜软件股份有限公司E3全渠道中台存在信息泄露漏洞，攻击者可利用漏洞获取敏感信息。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-11482

4、杭州飞致云信息科技有限公司SQLBot存在SQL注入漏洞

SQLBot是一款基于大模型和RAG的智能问数系统。杭州飞致云信息科技有限公司SQLBot存在SQL注入漏洞，攻击者可利用该漏洞获取数据库敏感信息。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-11363

5、Huawei EMUI和Huawei HarmonyOS电子邮件应用校验不当漏洞

Huawei EMUI是一款基于Android开发的移动端操作系统。Huawei HarmonyOS是一个操作系统。提供一个基于微内核的全场景分布式操作系统。Huawei EMUI和Huawei HarmonyOS电子邮件应用存在校验不当漏洞，攻击者可利用该漏洞导致机密性受影响。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-13998

说明：关注度分析由CNVD根据互联网用户对CNVD漏洞信息查阅情况以及产品应用广泛情况综合评定。

阅读原文

跳转微信打开

]]> Mon, 23 Mar 2026 18:00:00 +0800 CNVD漏洞周报2026年第10期 https://mp.weixin.qq.com/s?__biz=MzU3ODM2NTg2Mg==&mid=2247496773&idx=1&sn=3bd33ad9d330722dba14113cb0479abf 国家信息安全漏洞共享平台（以下简称CNVD）本周共收集、整理信息安全漏洞660个，其中高危漏洞379个、中危漏洞248个、低危漏洞33个。 原创 CNVD 2026-03-16 17:40 北京

国家信息安全漏洞共享平台（以下简称CNVD）本周共收集、整理信息安全漏洞660个，其中高危漏洞379个、中危漏洞248个、低危漏洞33个。

2026年03月09日-2026年03月15日

本周漏洞态势研判情况

本周信息安全漏洞威胁整体评价级别为中。

国家信息安全漏洞共享平台（以下简称CNVD）本周共收集、整理信息安全漏洞660个，其中高危漏洞379个、中危漏洞248个、低危漏洞33个。漏洞平均分值为6.88。本周收录的漏洞中，涉及0day漏洞524个（占79%），其中互联网上出现“TOTOLINK A950RG缓冲区溢出漏洞、TOTOLINK A950RG堆栈缓冲区溢出漏洞”等零日代码攻击漏洞。本周CNVD接到的涉及党政机关和企事业单位的漏洞总数8047个，与上周（1931个）环比增加317%。

‍图1CNVD收录漏洞近10周平均分值分布图

图2CNVD 0day漏洞总数按周统计

本周漏洞事件处置情况

本周，CNVD向银行、保险、能源等重要行业单位通报漏洞事件2起，向基础电信企业通报漏洞事件0起，协调CNCERT各分中心验证和处置涉及地方重要部门漏洞事件225起，协调教育行业应急组织验证和处置高校科研院所系统漏洞事件4起，向国家上级信息安全协调机构上报涉及部委门户、子站或直属单位信息系统漏洞事件41起。

图3CNVD各行业漏洞处置情况按周统计

图4CNCERT各分中心处置情况按周统计

图5CNVD教育行业应急组织处置情况按周统计

此外，CNVD通过已建立的联系机制或涉事单位公开联系渠道向以下单位通报了其信息系统或软硬件产品存在的漏洞，具体处置单位情况如下所示：

珠海奔图电子有限公司、浙江和达科技股份有限公司、浙江大冲能源科技股份有限公司、云智慧（北京）科技有限公司、友讯电子设备（上海）有限公司、用友网络科技股份有限公司、新誼整合科技股份有限公司、新开普电子股份有限公司、希捷国际科技（无锡）有限公司、武汉天地伟业科技有限公司、天地伟业技术有限公司、四川掌上时代科技有限公司、斯坦德机器人（无锡）股份有限公司、神州数码控股有限公司、深圳市思迅软件股份有限公司、深圳市赛格导航科技股份有限公司、深圳市锐明技术股份有限公司、深圳市明源云科技有限公司、深圳市蓝凌软件股份有限公司、深圳市科脉技术股份有限公司、深圳市吉祥腾达科技有限公司、深圳市慧视通科技股份有限公司、深圳前海华夏智信数据科技有限公司、深圳开鸿数字产业发展有限公司、深信服科技股份有限公司、上汽通用五菱汽车股份有限公司、上海有芒智能科技有限公司、上海熊猫机械（集团）有限公司、上海精谕科技有限公司、上海博达数据通信有限公司、上海百胜软件股份有限公司、上海艾泰科技有限公司、山西牛之云网络科技有限公司、山东潍微科技股份有限公司、山东博硕自动化技术有限公司、厦门四信通信科技有限公司、厦门熵基科技有限公司、厦门科拓通讯技术股份有限公司、三星（中国）投资有限公司、睿因科技（深圳）有限公司、青果软件集团有限公司、青岛三利中德美水设备有限公司、青岛东胜伟业软件有限公司、麒麟软件有限公司、普元信息技术股份有限公司、南京星远图科技有限公司、南京科远智慧科技集团股份有限公司、南京金维鸟智能系统股份有限公司、迈普通信技术股份有限公司、乐金电子（中国）有限公司、九州通医疗信息科技（武汉）有限公司、江苏云潮信息技术有限公司、惠普贸易（上海）有限公司、湖南创星科技股份有限公司、河北赢图网络科技有限公司、杭州勇电照明有限公司、杭州海康威视数字技术股份有限公司、贵州先知科技有限公司、广州视睿电子科技有限公司、广州市太友计算机科技有限公司、广东中设智控科技股份有限公司、广东保伦电子股份有限公司、格睿云（北京）技术咨询有限公司、畅捷通信息技术股份有限公司、禅道软件（杭州）有限公司、北京易华录信息技术股份有限公司、北京亿赛通科技发展有限责任公司、北京星网锐捷网络技术有限公司、北京通达信科科技有限公司、北京神州视翰科技有限公司、北京凯特伟业科技有限公司、北京金和网络股份有限公司、北京国炬信息技术有限公司、北京邦永科技有限公司、北京佰才邦技术股份有限公司、北京安天网络安全技术有限公司、安科瑞电气股份有限公司、安徽皖通科技股份有限公司、爱普生（中国）有限公司和艾诺斯（中国）华达电源系统有限公司。

本周漏洞报送情况统计

本周报送情况如表1所示。其中，新华三技术有限公司、深信服科技股份有限公司、北京天融信网络安全技术有限公司、北京数字观星科技有限公司、北京知道创宇信息技术有限公司等单位报送公开收集的漏洞数量较多。江苏金盾检测技术股份有限公司、成都久信信息技术股份有限公司、江苏云天网络安全技术有限公司、北京禹宏信安科技有限公司、360漏洞研究院、卫士通（广州）信息安全技术有限公司、北京卓识网安技术股份有限公司、北京网御星云信息技术有限公司、北京百度网讯科技有限公司、南京泛舟信息科技有限公司、中远海运发展股份有限公司、中国互联网络信息中心、广州纬安科技有限公司、中资网络信息安全科技有限公司、河南东方云盾信息技术有限公司、中国电信股份有限公司上海研究院、天津市兴先道科技有限公司、天翼数字生活科技有限公司、北京山石网科信息技术有限公司、中国电信股份有限公司研究院及其他个人白帽子向CNVD提交了8047个以事件型漏洞为主的原创漏洞，其中包括奇安信网神（补天平台）、斗象科技（漏洞盒子）和上海交大向CNVD共享的白帽子报送7033条原创漏洞信息。

表1漏洞报送情况统计表

本周漏洞按类型和厂商统计

本周，CNVD收录了660个漏洞。WEB应用319个，应用程序160个，网络设备（交换机、路由器等网络端设备）135个，操作系统18个，安全产品15个，智能设备（物联网终端设备）6个，数据库5个，车联网2个。

表2漏洞按影响类型统计表

图6本周漏洞按影响类型分布

CNVD整理和发布的漏洞涉及OpenClaw、友讯电子设备（上海）有限公司、北京金和网络股份有限公司等多家厂商的产品，部分漏洞数量按厂商统计如表3所示。

表3漏洞产品涉及厂商分布统计表

本周行业漏洞收录情况

本周，CNVD收录了8个电信行业漏洞，11个移动互联网行业漏洞，8个工控行业漏洞（如下图所示）。其中，“Google Android权限提升漏洞（CNVD-2026-13149）、多款Advantech产品文件上传漏洞”等漏洞的综合评级为“高危”。相关厂商已经发布了漏洞的修补程序，请参照CNVD相关行业漏洞库链接。

电信行业漏洞链接：http://telecom.cnvd.org.cn/

移动互联网行业漏洞链接：http://mi.cnvd.org.cn/

工控系统行业漏洞链接：http://ics.cnvd.org.cn/

图7电信行业漏洞统计

图8移动互联网行业漏洞统计

图9工控系统行业漏洞统计

本周重要漏洞安全告警

本周，CNVD整理和发布以下重要安全漏洞信息。

1、Adobe产品安全漏洞

Adobe After Effects是美国奥多比（Adobe）公司的一套视觉效果和动态图形制作软件。该软件主要用于2D和3D合成、动画制作和视觉特效制作等。Adobe DNG SDK是美国奥多比（Adobe）公司的一款提供读取和写入DNG文件功能的软件开发工具包。Adobe Substance3D Designer是美国奥多比（Adobe）公司的一个纹理与材质创作软件。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞在系统上执行任意代码或导致应用程序崩溃。

CNVD收录的相关漏洞包括：Adobe After Effects类型混淆漏洞、Adobe After Effects输入验证错误漏洞（CNVD-2026-12866）、Adobe After Effects资源管理错误漏洞（CNVD-2026-12867、CNVD-2026-12868、CNVD-2026-12869）、Adobe After Effects缓冲区溢出漏洞（CNVD-2026-12870）、Adobe DNG SDK缓冲区溢出漏洞、Adobe Substance3D Designer代码问题漏洞。其中，除“Adobe Substance3D Designer代码问题漏洞”外其余漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-12865

https://www.cnvd.org.cn/flaw/show/CNVD-2026-12866

https://www.cnvd.org.cn/flaw/show/CNVD-2026-12867

https://www.cnvd.org.cn/flaw/show/CNVD-2026-12868

https://www.cnvd.org.cn/flaw/show/CNVD-2026-12869

https://www.cnvd.org.cn/flaw/show/CNVD-2026-12870

https://www.cnvd.org.cn/flaw/show/CNVD-2026-12871

https://www.cnvd.org.cn/flaw/show/CNVD-2026-12874

2、Apache产品安全漏洞

Apache Druid是美国阿帕奇（Apache）基金会的一款使用Java语言编写的、面向列的开源分布式数据库。Apache Fineract是美国阿帕奇（Apache）基金会的一套开源数字金融服务平台。该平台能够为用户提供数据管理、贷款和储蓄投资组合管理以及实时财务数据等功能。Apache Ignite是美国阿帕奇（Apache）基金会的一套高性能、集成化和分布式的用于大规模的数据集处理的内存计算和事务管理平台。Apache Traffic Server（ATS）是美国阿帕奇（Apache）基金会的一套可扩展的HTTP代理和缓存服务器。Apache Superset是美国阿帕奇（Apache）基金会的一个数据可视化和数据探索平台。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞绕过数据访问控制，查看、添加、修改或删除数据库上的任意文件，导致在服务器端执行任意代码等。

CNVD收录的相关漏洞包括：Apache Druid认证绕过漏洞、Apache Fineract SQL注入漏洞、Apache Ignite反序列化漏洞、Apache Traffic Server（ATS）环境问题漏洞、Apache Superset SQL注入漏洞、Apache Superset安全绕过漏洞、Apache Superset信息泄露漏洞、Apache Superset安全绕过漏洞（CNVD-2026-13252）。其中，“Apache Druid认证绕过漏洞、Apache Fineract SQL注入漏洞、Apache Ignite反序列化漏洞、Apache Traffic Server（ATS）环境问题漏洞”漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-12894

https://www.cnvd.org.cn/flaw/show/CNVD-2026-12899

https://www.cnvd.org.cn/flaw/show/CNVD-2026-12898

https://www.cnvd.org.cn/flaw/show/CNVD-2026-12897

https://www.cnvd.org.cn/flaw/show/CNVD-2026-13249

https://www.cnvd.org.cn/flaw/show/CNVD-2026-13250

https://www.cnvd.org.cn/flaw/show/CNVD-2026-13251

https://www.cnvd.org.cn/flaw/show/CNVD-2026-13252

3、Microsoft产品安全漏洞

Microsoft Payment Orchestrator Service是一款微软为金融服务行业提供云原生支付流程自动化与编排的功能。Microsoft Devices Pricing Program是微软面向企业客户、合作伙伴或特定渠道提供的专属设备采购与定价机制，主要用于批量采购 Surface 系列设备（如 Surface Laptop、Surface Pro 等）时享受定制化价格、商务条款及支持服务。Microsoft Azure Functions是美国微软（Microsoft）公司的一个托管的平台即服务（PaaS）提供程序，为Azure云服务提供事件驱动和计划的计算资源。Microsoft Azure Front Door是美国Microsoft公司的一个云端内容分发网络。Microsoft Windows Admin Center是美国微软（Microsoft）公司的一款本地部署的基于浏览器的应用程序。该程序主要用于管理服务器、群集等。Microsoft Teams是美国微软（Microsoft）公司的一款用于在线会议、聊天、云存储功能的软件。Microsoft Semantic Kernel是美国Microsoft公司的一个大模型编排框架。Microsoft Azure Arc是美国微软（Microsoft）公司的一个存储系统。可将Azure平台扩展到您的环境中。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞获取敏感信息，提升权限，上传恶意文件，执行任意代码等。

CNVD收录的相关漏洞包括：Microsoft Payment Orchestrator Service访问控制错误漏洞、Microsoft Devices Pricing Program代码问题漏洞、Microsoft Azure Functions信息泄露漏洞、Microsoft Azure Front Door访问控制错误漏洞、Microsoft Windows Admin Center授权问题漏洞、Microsoft Teams访问控制错误漏洞、Microsoft Semantic Kernel代码注入漏洞、Microsoft Azure Arc访问控制错误漏洞。上述漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-12903

https://www.cnvd.org.cn/flaw/show/CNVD-2026-12902

https://www.cnvd.org.cn/flaw/show/CNVD-2026-12907

https://www.cnvd.org.cn/flaw/show/CNVD-2026-12906

https://www.cnvd.org.cn/flaw/show/CNVD-2026-12911

https://www.cnvd.org.cn/flaw/show/CNVD-2026-12910

https://www.cnvd.org.cn/flaw/show/CNVD-2026-12909

https://www.cnvd.org.cn/flaw/show/CNVD-2026-12908

4、Google产品安全漏洞

Google Android是美国谷歌（Google）公司的一套以Linux为基础的开源操作系统。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞获取敏感信息，在系统上获得更高的权限，导致拒绝服务。

CNVD收录的相关漏洞包括：Google Android信息泄露漏洞（CNVD-2026-13142）、Google Android权限提升漏洞（CNVD-2026-13144、CNVD-2026-13145、CNVD-2026-13146、CNVD-2026-13148、CNVD-2026-13149）、Google Android拒绝服务漏洞（CNVD-2026-13147、CNVD-2026-13150）。其中，除“Google Android信息泄露漏洞（CNVD-2026-13142）、Google Android权限提升漏洞（CNVD-2026-13144）、Google Android拒绝服务漏洞（CNVD-2026-13147）”外其余漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-13142

https://www.cnvd.org.cn/flaw/show/CNVD-2026-13144

https://www.cnvd.org.cn/flaw/show/CNVD-2026-13145

https://www.cnvd.org.cn/flaw/show/CNVD-2026-13146

https://www.cnvd.org.cn/flaw/show/CNVD-2026-13147

https://www.cnvd.org.cn/flaw/show/CNVD-2026-13148

https://www.cnvd.org.cn/flaw/show/CNVD-2026-13149

https://www.cnvd.org.cn/flaw/show/CNVD-2026-13150

5、D-Link DIR-513堆栈缓冲区溢出漏洞

D-Link DIR-513是中国友讯（D-Link）公司的一款无线路由器产品。本周，D-Link DIR-513被披露存在堆栈缓冲区溢出漏洞，攻击者可利用该漏洞在系统上执行任意代码或者导致拒绝服务。目前，厂商尚未发布上述漏洞的修补程序。CNVD提醒广大用户随时关注厂商主页，以获取最新版本。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-13153

小结：本周，Adobe产品被披露存在多个漏洞，攻击者可利用漏洞在系统上执行任意代码或导致应用程序崩溃。此外，Apache、Microsoft、Google等多款产品被披露存在多个漏洞，攻击者可利用漏洞获取敏感信息，查看、添加、修改或删除数据库上的任意文件，提升权限，上传恶意文件，执行任意代码，导致拒绝服务等。另外，D-Link DIR-513被披露存在堆栈缓冲区溢出漏洞，攻击者可利用该漏洞在系统上执行任意代码或者导致拒绝服务。建议相关用户随时关注上述厂商主页，及时获取修复补丁或解决方案。

本周重要漏洞攻击验证情况

本周，CNVD建议注意防范以下已公开漏洞攻击验证情况。

1、TOTOLINK A950RG缓冲区溢出漏洞

验证描述

TOTOLINK A950RG是中国吉翁电子（TOTOLINK）公司的一款超世代Giga无线路由器。

TOTOLINK A950RG存在缓冲区溢出漏洞，该漏洞源于setParentalRules接口对urlKeyword参数验证不足且未执行边界检查，攻击者可利用该漏洞导致拒绝服务或执行任意代码。

验证信息

POC链接：

https://github.com/SunnyYANGyaya/cuicuishark-sheep-fishIOT/blob/main/ToTolink/A950RG/5024-setParentRules-urlKeyWord-buffer.md

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2026-13227

信息提供者

新华三技术有限公司

注：以上验证信息(方法)可能带有攻击性，仅供安全研究之用。请广大用户加强对漏洞的防范工作，尽快下载相关补丁。

关于CNVD

国家信息安全漏洞共享平台（ChinaNationalVulnerabilityDatabase，简称CNVD）是由CNCERT联合国内重要信息系统单位、基础电信运营商、网络安全厂商、软件厂商和互联网企业建立的国家网络安全漏洞库，致力于建立国家统一的信息安全漏洞收集、发布、验证、分析等应急处理体系。

关于CNCERT

国家计算机网络应急技术处理协调中心（简称“国家互联网应急中心”，英文简称是CNCERT或CNCERT/CC），成立于2002年9月，为非政府非盈利的网络安全技术中心，是我国计算机网络应急处理体系中的牵头单位。

作为国家级应急中心，CNCERT的主要职责是：按照“积极预防、及时发现、快速响应、力保恢复”的方针，开展互联网网络安全事件的预防、发现、预警和协调处置等工作，维护国家公共互联网安全，保障基础信息网络和重要信息系统的安全运行。

网址：www.cert.org.cn

邮箱：vreport@cert.org.cn

电话：010-82991783

关注CNVD漏洞平台

阅读原文

跳转微信打开

]]> Mon, 16 Mar 2026 17:40:00 +0800