漏洞风险提示（20250411）

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 Tenda AC1206信息泄露漏洞（CVE-2025-3328）
一、漏洞描述：
       
        在Tenda AC1206 15.03.06.23中发现严重漏洞。受影响的是文件“/goform/fast_setting_wifi_set”的函数“form_fast_setting_wifi_set”。对参数“ssid/timeZone”的作会导致缓冲区溢出。可以远程发起攻击。该漏洞已向公众披露，并可能被使用。其他参数也可能受到影响。
二、风险等级：
        高
三、影响范围：
        Tenda AC1206 < 15.03.06.23
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://www.tenda.com.cn/

---

2 Azure Health Bot 特权提升漏洞（CVE-2025-21384）
一、漏洞描述：
       
        经过身份验证的攻击者可以利用Microsoft Azure Health Bot中的服务器端请求伪造（SSRF）漏洞来提升网络上的权限。
二、风险等级：
        高
三、影响范围：
        Azure Health Bot = 20250331
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://msrc.microsoft.com/updat ... lity/CVE-2025-21384

---

3 WeGIA SQL注入漏洞（CVE-2025-30367）
一、漏洞描述：
       
        WeGIA是慈善机构的网络管理者。
        在3.2.6之前的版本中，在/WeGIA/controle/control.php端点的nextPage参数中发现了一个SQL注入漏洞。此漏洞允许攻击者纵SQL查询并访问敏感的数据库信息，例如表名和敏感数据。
二、风险等级：
        高
三、影响范围：
        WeGIA <= 3.2.5
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://github.com/LabRedesCefetRJ/WeGIA/releases

---

4 H3C Magic BE18000网络请求命令注入漏洞（CVE-2025-2732）
一、漏洞描述：
       
        在H3C Magic NX15，Magic NX30 Pro，Magic NX400，Magic R3010和Magic BE18000中发现一个漏洞，最高V100R014。它被评为Critical 。受此问题影响的是组件HTTP POST Request Handler的/api/wizard/getWifiNeighbour文件的某些未知功能。导致远程命令注入攻击。
二、风险等级：
        高
三、影响范围：
        H3C Magic NX15 = V100R014
        H3C Magic NX30 Pro = V100R014
        H3C Magic NX400 = V100R014
        H3C Magic R3010 = V100R014
        H3C Magic BE18000 = V100R014
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://www.h3c.com/cn/

---