漏洞风险提示（20230718）

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 vm2 代码执行漏洞(CVE-2023-37466)
一、漏洞描述：

        vm2是一个可以运行不可信代码的Node.js沙箱，可以防止不可信代码访问系统资源或外部数据。
        vm2 中存在沙箱逃逸漏洞，允许攻击者逃脱沙箱并运行任意代码。
二、风险等级：
        高危
三、影响范围：
        vm2 <= 3.9.19
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://github.com/patriksimek/vm2

---

2 rswag 目录遍历漏洞(CVE-2023-38337)
一、漏洞描述：

        RSwag 是一个用于 Rails API 的 Swagger 的无缝集成，它可以自动为您的 API 生成 Swagger 文档，并提供了一些有用的工具来测试和验证您的 API。
        2.10.1之前的rswag因为rswag-api暴露了一个不是项目的OpenAPI(或Swagger)规范文件的文件，远程攻击者可以通过目录遍历读取任意JSON和YAML文件。
二、风险等级：
        高危
三、影响范围：
        Rswag <= 2.9.0
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://github.com/rswag/rswag/releases

---

3 Apache EventMesh RabbitMQ-Connector plugin 反序列化漏洞(CVE-2023-26512)
一、漏洞描述：

        Apache EventMesh 是一个新一代的无服务器事件中间件，用于构建分布式事件驱动的应用程序。RabbitMQ-Connector 是其中的一款插件。
        Apache EventMesh 在 1.7.0-1.8.0 版本中存在反序列化漏洞。RabbitMQ-Connector 插件模块中，攻击者发送受控消息，并在RabbitMQ-Connector 插件模块中进行反序列化。
二、风险等级：
        高危
三、影响范围：
        1.7.0 <= Apache EventMesh <= 1.8.0
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://github.com/apache/eventmesh/releases/tag/v1.9.0

---

4 GLPI SQL注入漏洞(CVE-2023-37278)
一、漏洞描述：

        GLPI是一个免费的资产和IT管理软件包，数据中心管理，ITIL服务台，许可证跟踪和软件审计。
        管理员可以通过仪表板管理触发SQL注入。
二、风险等级：
        高危
三、影响范围：
        GLPI >= 9.5.0
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://github.com/glpi-project/glpi/releases

---