漏洞风险提示（20250429）

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 TOTOLINK EX1200T远程代码执行漏洞（CVE-2025-28039）
一、漏洞描述：
        
        TOTOLINK EX1200T是一款双频无线信号放大器，主要用于扩展现有无线网络的覆盖范围。
        TOTOLINK EX1200T在V4.1.2cu.5232_B20210713版本中存在远程代码执行漏洞。该漏洞是由于受影响产品版本的setUpgradeFW函数中可以通过FileName参数进行预授权远程命令执行。攻击者可以通过该漏洞漏洞在目标系统上执行任意代码，从而获得对系统的完全控制。
二、风险等级：
        高
三、影响范围：
        TOTOLINK EX1200T V4.1.2cu.5232_B20210713
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://locrian-lightning-dc7.no ... 0fbb0cacc7e758e7299

---

2 北京宏景世纪软件股份有限公司人力资源信息管理系统存在SQL注入漏洞（CNVD-2025-08629）
一、漏洞描述：
      
        北京宏景世纪软件股份有限公司（简称“宏景软件”），始终专注于人力与人才管理信息化领域，已成为国内专业的e-HR专业厂商。
        北京宏景世纪软件股份有限公司人力资源信息管理系统存在SQL注入漏洞，攻击者可利用该漏洞获取数据库敏感信息。
二、风险等级：
        高
三、影响范围：
        北京宏景世纪软件股份有限公司 人力资源信息管理系统
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://www.hjhrcloud.com/

---

3 北京北大方正电子有限公司方正畅享全媒体新闻采编系统存在SQL注入漏洞（CNVD-2025-08014）
一、漏洞描述：
        
        北京北大方正电子有限公司是一家在印刷、传媒、出版、字库等领域具有领先地位的技术和服务提供商。
        北京北大方正电子有限公司方正畅享全媒体新闻采编系统存在SQL注入漏洞，攻击者可利用该漏洞获取数据库敏感信息。
二、风险等级：
        高
三、影响范围：
        北京北大方正电子有限公司 方正畅享全媒体新闻采编系统
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        http://www.founder.com.cn/

---

4 科大讯飞（北京）有限公司科大讯飞智慧云平台存在SQL注入漏洞（CNVD-2025-07994）
一、漏洞描述：
        
        科大讯飞（北京）有限公司是一家主要从事技术开发、技术推广、技术转让、技术咨询、技术服务等业务‌的公司。
        科大讯飞（北京）有限公司科大讯飞智慧云平台存在SQL注入漏洞，攻击者可利用该漏洞获取数据库敏感信息。
二、风险等级：
        高
三、影响范围：
        科大讯飞（北京）有限公司 科大讯飞智慧云平台
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://www.iflytek.com/

---