漏洞风险提示（20240102）

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 WordPress 插件会话时间监控 SQL注入漏洞(CVE-2023-5203)
一、漏洞描述：
       
        WP Sessions Time Monitoring Full Automatic是一款WordPress 插件，它能够准确测量每个页面和用户的所有活动时间，如工作时间、阅读时间、观看时间、特定用户的会话时间等。
        由于WP Sessions Time Monitoring Full Automatic插件版本1.0.9 之前在SQL 查询中使用请求URL或查询参数之前未对其进行清理，未经身份验证的威胁者可通过SQL时间盲注（或在某些情况下使用报错/union联合注入）从数据库中获取敏感信息。
二、风险等级：
        高危
三、影响范围：
        WP Sessions Time Monitoring Full Automatic 版本< 1.0.9
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://wordpress.org/plugins/activitytime/

---

2 Winter 路径遍历漏洞(CVE-2023-52085)
一、漏洞描述：
       
        Winter是基于 Laravel PHP 框架的免费、开源、自托管 CMS 平台。
        Winter 1.2.4之前版本存在路径遍历漏洞，该漏洞源于允许攻击者通过提供给后端ColorPicker FormWidget的值的LESS编译来包含本地文件。
二、风险等级：
        高危
三、影响范围：
        Winter < 1.2.4
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://github.com/wintercms/win ... 1b1bf96bafad23d8ddd

---

3 SeaCMS 远程代码执行漏洞(CVE-2023-46987)
一、漏洞描述：
       
        SeaCMS 是一个用 PHP 编写的免费开源网站内容管理系统。本系统主要是为了管理视频点播资源。
        SeaCMS v12.9 被发现包含通过组件 /data/admin/ip.php 的远程代码执行 (RCE) 漏洞。
二、风险等级：
        高危
三、影响范围：
        SeaCMS <= v12.9
四、修复建议：
        仅允许可信ip访问 /data/admin/ip.php 路由。
4 DataX-Web /api/log/killJob 命令注入漏洞(CVE-2023-7116)
一、漏洞描述：
       
        DataX Web是在DataX之上开发的分布式数据同步工具，提供简单易用的 操作界面，降低用户使用DataX的学习成本，缩短任务配置时间，避免配置过程中出错。
        DataX Web 在 2.1.2 版本中存在命令注入漏洞。经过身份认证的攻击者可以通过访问 /api/log/killJob 路由构造恶意的请求包，利用命令拼接的方式进行执行任意命令，控制服务器的权限。
二、风险等级：
        高危
三、影响范围：
        DataX Web 2.1.2
四、修复建议：
        1、增强用户的密码强度，防止攻击者通过弱口令登录后台进行利用；
        2、使用WAF防火墙等安全设备对系统进行防护，防止攻击者通过命令拼接进行该漏洞的利用。