漏洞风险提示（20240731)

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 Automation Anywhere Automation 360 SSRF漏洞(CVE-2024-6922)
一、漏洞描述：     
       
        Automation Anywhere的Automation 360是一个全球领先的AI驱动的一体化云原生企业自动化平台，它为企业提供了全面的流程发现、数字化、自动化和优化功能。Automation Anywhere Automation 360 v21-v32 容易受到 Web API 组件中的服务器端请求伪造的影响。对 Automation 360 Control Room HTTPS 服务（端口 443）或 HTTP 服务（端口 80）进行未经身份验证的访问权限的攻击者可以从服务器触发任意 Web 请求。
二、风险等级：
        高危
三、影响范围：
        Automation Anywhere Automation 360 v21-v32
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://www.automationanywhere.com

---

2 Craft CMS SQL注入漏洞(CVE-2024-37843)
一、漏洞描述：     
       
        Craft CMS是一款功能强大、灵活易用、安全可靠的内容管理系统，特别适合需要高度定制化和高性能的企业级网站。Craft CMS存在SQL注入漏洞，未经身份验证的攻击者可以通过该漏洞获取数据库敏感信息。
二、风险等级：
        高危
三、影响范围：
        Craft CMS <= v3.7.31
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://craftcms.com

---

3 EfroTech Timetrax SQL注入漏洞(CVE-2024-39250)
一、漏洞描述：     
       
        EfroTech Timetrax是一款由EfroTech公司开发的全方位的人力资源管理（HRM）软件，它提供了从员工管理到业务运营的全面解决方案。EfroTech Timetrax存在SQL注入漏洞，未经身份验证的攻击者可以通过该漏洞获取数据库敏感信息。
二、风险等级：
        高危
三、影响范围：
        EfroTech Timetrax v8.3
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://efrotech.etimetrax.com

---

4 Huawei EMUI和Huawei HarmonyOS 访问控制漏洞(CVE-2024-39671)
一、漏洞描述：     
       
        Huawei EMUI和Huawei HarmonyOS都是中国华为（Huawei）公司的产品。Huawei EMUI是一款基于Android开发的移动端操作系统。Huawei HarmonyOS是一个操作系统。提供一个基于微内核的全场景分布式操作系统。Huawei EMUI和Huawei HarmonyOS存在安全漏洞，该漏洞源于安全验证模块中存在访问控制漏洞，从而会影响服务的机密性。
二、风险等级：
        高危
三、影响范围：
        Huawei EMUI
        Huawei HarmonyOS
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://consumer.huawei.com/en/support/bulletin/2024/7/