漏洞风险提示（20240321）

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 Confluence Data Center 与 Confluence Server 路径遍历漏洞(CVE-2024-21677)
一、漏洞描述：
       
        Confluence 是由 Atlassian 开发的企业级专业的企业知识管理与协同软件，也可以用于构建企业wiki。使用简单，帮助团队成员之间共享信息、文档协作、集体讨论，信息推送。
        该漏洞允许未经身份验证的攻击者利用一个暂时无法定义的漏洞，该漏洞对机密性有很大影响，对完整性有很大影响，对可用性有很大影响，并且需要用户交互，建议受影响用户立即更新到安全版本。
二、风险等级：
        高危
三、影响范围：
        Confluence Data Center=8.8.0
        8.7.0<=Confluence Data Center<=8.7.2
        8.6.0<=Confluence Data Center<=8.6.2
        8.5.0<=Confluence Data Center<=8.5.6
        LTS 8.4.0<=Confluence Data Center<=8.4.5
        8.3.0<=Confluence Data Center<=8.3.4
        8.2.0<=Confluence Data Center<=8.2.3
        8.1.0<=Confluence Data Center<=8.1.4
        8.0.0<=Confluence Data Center<=8.0.4
        7.20.0<=Confluence Data Center<=7.20.3
        7.19.0<=Confluence Data Center<=7.19.19
        LTS 7.18.0<=Confluence Data Center<=7.18.3
        7.17.0<=Confluence Data Center<=7.17.5
        Confluence Data Center<=7.17.0
        8.5.0<=Confluence Server<=8.5.6
        LTS 8.4.0<=Confluence Server<=8.4.5
        8.3.0<=Confluence Server<=8.3.4
        8.2.0<=Confluence Server<=8.2.3
        8.1.0<=Confluence Server<=8.1.4
        8.0.0<=Confluence Server<=8.0.4
        7.20.0<=Confluence Server<=7.20.3
        7.19.0<=Confluence Server<=7.19.19
        LTS 7.18.0<=Confluence Server<=7.18.3
        7.17.0<=Confluence Server<=7.17.5
        Confluence Server<=7.17.0
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://www.atlassian.com/software/confluence/download-archives

---

2 Parse Server注入漏洞(CVE-2024-29027)
一、漏洞描述：
       
        Parse Server 是一款基于node.js的开源框架。
        Parse Server版本6.5.5和7.0.0-alpha.29之前，由于缺乏对Cloud Function 名称和 Cloud Job 名称的字符串清理，当调用无效的Parse Server Cloud Function名称或 Cloud Job 名称时可能导致服务器崩溃，或可能导致代码注入或远程代码执行等。
二、风险等级：
        高危
三、影响范围：
        Parse Server版本< 6.5.5
        7.0.0-alpha.1<= Parse Server版本< 7.0.0-alpha.29
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://github.com/parse-community/parse-server/releases

---

3 black拒绝服务攻击漏洞(CVE-2024-21503)
一、漏洞描述：
       
        Black是一个 Python 代码格式化程序。black 24.3.0 之前版本存在安全漏洞，该漏洞源于 strings.py 文件中的lines_with_leading_tabs_expanded 函数容易受到拒绝服务攻击，攻击者利用该漏洞可以通过制作恶意输入导致拒绝服务。
二、风险等级：
        高危
三、影响范围：
        black < 24.3.0
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://github.com/psf/black/com ... a8993cee8bedf5fe9b8

---

4 Apache Wicket 环境问题漏洞(CVE-2024-27439)
一、漏洞描述：
       
        Apache Wicket是美国阿帕奇（Apache）基金会的一套开源、轻量、基于组件的框架，它提供了一种面向对象的方式来开发基于Web的动态UI应用程序。
        Apache Wicket 9.1.0 到 9.16.0、Apache Wicket 10.0.0-M1之前版本存在环境问题漏洞，该漏洞源于获取元数据标头的评估错误，可能会允许攻击者绕过 Apache Wicket 中的 CSRF 保护。
二、风险等级：
        高危
三、影响范围：
        Apache Wicket 9.1.0 - 9.16.0
        Apache Wicket 1< 0.0.0-M1
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://lists.apache.org/thread/o825rvjjtmz3qv21ps5k7m2w9193g1lo

---