漏洞风险提示（20241230)
免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。1 libxml2 XML外部实体注入漏洞（CVE-2024-40896）
一、漏洞描述：
]
libxml2是一个开源、高性能且应用广泛的XML解析库，它基于标准的ANSI C库完成，提供了丰富的API接口，支持XML文档的读取、创建、修改、验证和查询等功能，并兼容多种操作系统，包括 Linux、Windows、macOS 和其他类 UNIX 系统，可嵌入在多种编程语言中（如 C、Python、Ruby、Perl 等）。由于libxml2受影响版本中的SAX 解析器在处理外部实体时，即使开发者在自定义的 SAX 处理器中尝试通过某种方式（例如设置“checked”）来控制或覆盖外部实体的加载，解析器仍会触发与外部实体相关的事件。攻击者可通过向目标 XML 解析器提供包含外部实体引用的恶意 XML 输入来利用该漏洞，成功利用可能导致信息泄露（如访问文件系统的敏感文件）、拒绝服务或执行其他未授权操作。
二、风险等级：
高危
三、影响范围：
2.11 <= libxml2 < 2.11.9
2.12 <= libxml2 < 2.12.9
2.13 <= libxml2 < 2.13.3
四、修复建议：
目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
https://gitlab.gnome.org/GNOME/libxml2/-/releases
2 Arne Informatics Piramit Automation SQL注入漏洞（CVE-2024-8950）
一、漏洞描述：
Arne Informatics Piramit Automation是Arne Informatics公司的一款应用程序。Arne Informatics Piramit Automation 27.09.2024之前版本存在SQL注入漏洞，该漏洞源于对特殊元素的不当中和。
二、风险等级：
高危
三、影响范围：
Arne Informatics Piramit Automation < 27.09.2024
四、修复建议：
目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
https://www.arnebilgisayar.com/
3 WordPress plugin WP Data Access SQL注入漏洞（CVE-2024-12428）
一、漏洞描述：
WordPress和WordPress plugin都是WordPress基金会的产品。WordPress是一套使用PHP语言开发的博客平台。该平台支持在PHP和MySQL的服务器上架设个人博客网站。WordPress plugin是一个应用插件。WordPress plugin WP Data Access 5.5.22及之前版本存在SQL注入漏洞，该漏洞源于对用户提供的参数转义不足以及对现有SQL查询准备不足，这导致未经身份验证的攻击者可以从数据库中提取敏感信息。
二、风险等级：
高危
三、影响范围：
WordPress plugin WP Data Access <= 5.5.22
四、修复建议：
目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
https://www.wordfence.com/threat-intel/vulnerabilities/id/a1708d6e-14f5-418f-81eb-f9269159b5b1?source=cve
4 DataEase 输入验证错误漏洞（CVE-2024-55952）
一、漏洞描述：
DataEase是DataEase开源的一个开源的数据可视化分析工具。用于帮助用户快速分析数据并洞察业务趋势，从而实现业务的改进与优化。DataEase v1.18.27之前版本存在输入验证错误漏洞，该漏洞源于构造jdbc连接字符串时未对参数进行过滤，经过身份验证的用户可以通过后端JDBC连接远程执行代码。
二、风险等级：
高危
三、影响范围：
DataEase < v1.18.27
四、修复建议：
目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
https://github.com/dataease/dataease/releases/tag/v1.18.27
页:
[1]