漏洞风险提示（20220804）
免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。1ChatBot App with Suggestion SQL注入漏洞（CVE-2022-31969）
一、漏洞描述：
ChatBot App with Suggestion是Carlo Montero个人开发者的一个带有建议功能的ChatBot应用程序。
ChatBot App with Suggestion v1.0版本存在SQL注入漏洞，该漏洞源于/simple_chat_bot/admin/?page=user/manage_user＆id=页面缺少对外部输入SQL语句的验证，攻击者可利用该漏洞执行非法SQL命令窃取数据库敏感数据。
二、风险等级：
高危
三、影响范围：
Carlo Montero ChatBot App with Suggestion v1.0
四、修复建议：
目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
https://www.sourcecodester.com/php/15316/chatbot-app-suggestion-phpoop-free-source-code.html
2 TotoLink A3100R命令注入漏洞（CNVD-2022-54652）
一、漏洞描述：
TotoLink A3100R是中国台湾吉翁电子（TotoLink）公司的一系列无线路由器。
TotoLink A3100R V4.1.2cu.5050_B20200504版本和V4.1.2cu.5247_B20211129版本存在命令注入漏洞，该漏洞源于uci_cloudupdate_config函数中的magicid参数未能正确过滤构造命令特殊字符、命令等，攻击者可利用该漏洞导致任意命令执行。
二、风险等级：
高危
三、影响范围：
TOTOLINK A3100R V4.1.2cu.5050_B20200504
TOTOLINK A3100R V4.1.2cu.5247_B20211129
四、修复建议：
目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
https://www.totolink.net/home/menu/detail/menu_listtpl/download/id/170/ids/36.html
3TotoLink EX300_v2命令注入漏洞（CVE-2021-43663）
一、漏洞描述：
TotoLink EX300是中国TotoLink公司的一款 300 Mbps 无线 N 范围扩展器。
TotoLink EX300_v2 V4.0.3c.140_B20210429版本存在命令注入漏洞，未经身份验证的攻击者可利用该漏洞通过MitM攻击以root身份远程执行代码。
二、风险等级：
高危
三、影响范围：
TOTOLINK EX300_v2 V4.0.3c.140_B20210429
四、修复建议：
目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
http://www.totolink.cn/
4 Google Android安全绕过漏洞（CNVD-2022-54478）
一、漏洞描述：
Google Android是美国谷歌（Google）公司的一套以Linux为基础的开源操作系统。
Google Android存在安全漏洞，攻击者可利用该漏洞绕过身份验证并获得访问权限。
二、风险等级：
高危
三、影响范围：
Google Android
四、修复建议：
目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
https://www.unigroup.com.cn/
页:
[1]