漏洞风险提示（20241225)

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 WordPress plugin AdForest 身份验证绕过漏洞（CVE-2024-11349）
一、漏洞描述：     
       
        WordPress和WordPress plugin都是WordPress基金会的产品。WordPress是一套使用PHP语言开发的博客平台。该平台支持在PHP和MySQL的服务器上架设个人博客网站。WordPress plugin是一个应用插件。WordPress plugin AdForest 5.1.6版本及之前版本存在安全漏洞，该漏洞源于包含一个身份验证绕过漏洞。
二、风险等级：
        高危
三、影响范围：
        WordPress plugin AdForest <= 5.1.6
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://www.wordfence.com/threat ... 7e6d23d9?source=cve

---

2 IBM Cognos Analytics表达式语言(EL)注入漏洞（CVE-2024-51466）
一、漏洞描述：     
       
        IBM Cognos Analytics是美国国际商业机器（IBM）公司的一套商业智能软件。该软件包括报表、仪表板和记分卡等，并可通过分析关键因素与关键人等内容，协助企业调整决策。IBM Cognos Analytics 11.2.0版本至11.2.4 FP4版本和12.0.0版本至12.0.4版本存在安全漏洞，该漏洞源于容易受到表达式语言(EL)注入漏洞的影响，远程攻击者可以利用此漏洞泄露敏感信息、消耗内存资源。
二、风险等级：
        高危
三、影响范围：
        IBM Cognos Analytics 11.2.0 - 11.2.4 FP4
        IBM Cognos Analytics 12.0.0 - 12.0.4
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://www.ibm.com/support/pages/node/7179496

---

3 Craft CMS 代码注入漏洞（CVE-2024-56145）
一、漏洞描述：     
       
        Craft CMS是Craft CMS开源的一套内容管理系统（CMS）。Craft CMS 5.0.0-RC1版本至5.5.2之前版本和4.0.0-RC版本至4.13.2之前版本存在代码注入漏洞，该漏洞源于php.ini配置的register_argc_argv选项被启用时，会出现未指定的远程代码执行向量。
二、风险等级：
        高危
三、影响范围：
        5.0.0-RC1 < Craft CMS < 5.5.2
        4.0.0-RC < Craft CMS < 4.13.2
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://github.com/craftcms/cms/ ... GHSA-2p6p-9rc9-62j9

---

4 Keyfactor Command 未授权访问漏洞（CVE-2024-49202）
一、漏洞描述：     
       
        Keyfactor Command是Keyfactor公司的一个 PKI 和机器身份自动化应用程序。Keyfactor Command 12.5.0版本之前存在安全漏洞，该漏洞源于包含一个不正确的访问控制问题。
二、风险等级：
        高危
三、影响范围：
        Keyfactor Command < 12.5.0
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://keyfactor.com