漏洞风险提示（20221117）

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1   IBM Robotic Process Automation授权问题漏洞（CVE-2022-43574）
一、漏洞描述：     
       
        IBM Robotic Process Automation是美国国际商业机器（IBM）公司的一种机器人流程自动化产品。可帮助您以传统RPA的轻松和速度大规模自动化更多业务和IT流程。
        IBM Robotic Process Automation21.0.1、21.0.2、21.0.3、21.0.4和21.0.5版本存在授权问题漏洞，该漏洞源于访问应用程序配置的错误权限分配。攻击者利用该漏洞绕过Web身份验证并获得设备的管理访问权限。
二、风险等级：
           高危
三、影响范围：
        IBM Robotic Process Automation <21.0.6
        IBM Robotic Process Automation for Cloud Pak <21.0.6
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://www.ibm.com/support/pages/node/6831645

---

2   IBM Information Server操作系统命令注入漏洞（CVE-2022-35717）
一、漏洞描述：     
       
        IBM InfoSphere Information Server是美国国际商业机器（IBM）公司的一套数据整合平台。该平台可用于整合各种渠道获取的数据信息。
        IBM InfoSphere Information Server11.7版本存在操作系统命令注入漏洞，经过本地身份验证的攻击者可利用该漏洞通过发送特制请求在系统上执行任意命令。
二、风险等级：
           高危
三、影响范围：
        IBM InfoSphere Information Server 11.7
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://www.ibm.com/support/pages/node/6829365

---

3   IBM Information Server XML外部实体注入漏洞（CVE-2022-40747）
一、漏洞描述：     
       
        IBM InfoSphere Information Server是美国国际商业机器（IBM）公司的一套数据整合平台。该平台可用于整合各种渠道获取的数据信息。
        IBM InfoSphere Information Server 11.7版本存在XML外部实体注入（XXE）漏洞，该漏洞源于在处理XML数据时容易受到XML外部实体注入（XXE）攻击。远程攻击者可利用该漏洞暴露敏感信息或消耗内存资源。
二、风险等级：
           高危
三、影响范围：
        IBM InfoSphere Information Server 11.7
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://www.ibm.com/support/pages/node/6829373

---

4   YAPI SQL注入漏洞（CNVD-2022-77758）
一、漏洞描述：     
        YAPI是一款api管理平台。
        YAPI存在SQL注入漏洞，攻击者可利用该漏洞获取到用户token，导致命令执行。
二、风险等级：
           高危
三、影响范围：
        YApi YApi <=1.10.2
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://github.com/YMFE/yapi/com ... 8a4b0c7c584f30ddf8c