漏洞风险提示（20250604）

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 Google Chrome 越界读写漏洞(CVE-2025-5419)
一、漏洞描述：
       
        Chrome是一款由Google公司开发的免费的、快速的互联网浏览器软件，目标是为使用者提供稳定、安全、高效的网络浏览体验。Google Chrome基于更强大的JavaScript V8引擎，提升浏览器的处理速度。支持多标签浏览，每个标签页面都在独立的“沙箱”内运行。
        该漏洞源于V8 引擎中的越界读写问题，攻击者通过恶意网页触发漏洞，可绕过沙箱防护实现远程代码执行，完全控制用户设备。
二、风险等级：
        高
三、影响范围：
        Google Chrome(Windows/Mac) < 137.0.7151.68/.69Google Chrome(Linux) < 137.0.7151.68
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://www.google.cn/chrome/

---

2 llama_Index SQL注入漏洞（CVE-2025-1750）
一、漏洞描述：
       
        llama_Index是一个用于构建基于数据的LLM驱动代理的领先框架。
        该漏洞由于llama_Index的DuckDBVectorStore组件中的ref_doc_id参数直接执行攻击者传递的恶意SQL语句，导致任意文件读取和写入漏洞。
二、风险等级：
        高
三、影响范围：
        version<=0.12.19
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://github.com/run-llama/llama_index/releases/tag/v0.12.40

---

3 Roundcube Webmail存在反序列化漏洞（CVE-2025-49113）
一、漏洞描述：
       
        Roundcube Webmail是一款开源的基于Web的电子邮件客户端，旨在为用户提供简洁而强大的电子邮件管理工具。
        由于program/actions/settings/upload.php文件中未对URL中的_from参数进行验证，导致PHP对象反序列化漏洞，从而允许经过身份验证的用户执行远程代码。
二、风险等级：
        高
三、影响范围：
        Roundcube Webmail <1.5.10
        1.6.0<= Roundcube Webmail <1.6.11
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://github.com/roundcube/roundcubemail/releases/tag/1.5.10

---

4 Google Chrome代码执行漏洞（CVE-2025-4372）
一、漏洞描述：
       
        Google Chrome是美国谷歌（Google）公司的一款Web浏览器。
        Google Chrome存在代码执行漏洞，攻击者可利用该漏洞导致堆损坏。
二、风险等级：
        高
三、影响范围：
        Google Chrome <136.0.7103.92
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://chromereleases.googleblo ... te-for-desktop.html

---