漏洞风险提示（20251224）

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 WordPress Events Manager Plugin信息泄露漏洞（CVE-2025-12408）
一、漏洞描述：
        
        WordPress Events Manager Plugin是一款功能全面的开源插件，专为在WordPress网站上管理活动而设计。
        WordPress Events Manager Plugin存在信息泄露漏洞，该漏洞源于get_location操作限制不足，攻击者可利用该漏洞获取敏感信息。
二、风险等级：
        高
三、影响范围：
        WordPress Events Manager Plugin ≤7.2.2.2
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://wordpress.org/plugins/events-manager

---

2 Apple macOS Tahoe权限限制不足漏洞（CVE-2025-43470）
一、漏洞描述：
        
        Apple macOS Tahoe是苹果公司于‌2025年6月10日‌发布的桌面操作系统，采用LiquidGlass设计语言，并整合了多项AI与跨设备功能。
        Apple macOS Tahoe存在权限限制不足漏洞，该漏洞源于系统在权限校验或权限边界控制中存在缺陷。攻击者可利用该漏洞导致标准用户查看管理员创建的磁盘映像文件。
二、风险等级：
        高
三、影响范围：
        Apple macOS Tahoe V26.1之前版本
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://support.apple.com/en-us/125634

---

3 Advantech WebAccess/VPN绝对路径遍历漏洞（CVE-2025-34238）
一、漏洞描述：
        
        Advantech WebAccess/VPN是一种集成在研华（Advantech）WebAccess/SCADA软件中的虚拟专用网络功能，旨在为工业自动化和远程监控系统提供安全、可靠的网络连接解决方案。
        Advantech WebAccess/VPN存在绝对路径遍历漏洞，该漏洞源于AjaxStandaloneVpnClientsController.ajaxDownloadRoadWarriorConfigFileAction未能正确地过滤资源或文件路径中的特殊元素，攻击者可利用该漏洞导致读取任意文件。
二、风险等级：
        高
三、影响范围：
        Advantech WebAccess/VPN V1.1.5之前版本
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://icr.advantech.com/download/software

---

4 Huawei HarmonyOS拒绝服务漏洞（CVE-2025-66331）
一、漏洞描述：
        
        Huawei HarmonyOS是华为技术有限公司自主研发的面向全场景的分布式操作系统。
        Huawei HarmonyOS存在拒绝服务漏洞，该漏洞源于office service容易受到拒绝服务攻击。攻击者可利用该漏洞导致拒绝服务。
二、风险等级：
        高
三、影响范围：
        Huawei HarmonyOS 5.0.1
        Huawei HarmonyOS 5.1.0
        Huawei HarmonyOS 6.0.0
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://consumer.huawei.com/en/support/bulletin/2025/12/

---