漏洞风险提示（20260205）

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 Yonyou KSOA SQL注入漏洞（CVE-2025-15420）
一、漏洞描述：
        
        Yonyou KSOA是中国用友（Yonyou）公司的一个企业级管理软件。
        Yonyou KSOA 9.0版本存在SQL注入漏洞，该漏洞源于对文件/worksheet/agent_work_report.jsp中参数ID的错误操作，远程攻击者可利用该漏洞获取信息。
二、风险等级：
        高
三、影响范围：
        Yonyou Yonyou KSOA 9.0
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://www.yonyou.com/

---

2 WPBookit WordPress Plugin跨站请求伪造漏洞（CVE-2025-12685）
一、漏洞描述：
        
        WordPress和WordPress plugin都是WordPress基金会的产品,WordPress是一套使用PHP语言开发的博客平台,该平台具有在基于PHP和MySQL的服务器上架设个人博客网站的功能,WordPress plugin是一个应用插件。
        WordPress plugin WPBookit 1.0.7及之前版本存在安全漏洞，该漏洞源于删除客户时缺少CSRF检查，攻击者可利用该漏洞获取信息。
二、风险等级：
        高
三、影响范围：
        WordPress WPBookit WordPress Plugin ≤1.0.7
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        http://wordpress.org/

---

3 EmpireSoft EmpireCMS 危险类型文件不受限上传漏洞（CVE-2025-15423）
一、漏洞描述：
        
        EmpireSoft EmpireCMS是EmpireSoft公司的一套开源内容管理系统（CMS）。
        EmpireSoft EmpireCMS 8.0及之前版本存在危险类型文件不受限上传漏洞，该漏洞源于对文件e/class/connect.php中函数CheckSaveTranFiletype的错误操作，远程攻击者可利用该漏洞上传任意文件。
二、风险等级：
        高
三、影响范围：
        EmpireSoft EmpireCMS ≤8.0
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        http://www.phome.net/

---

4 Yonyou KSOA SQL注入漏洞（CVE-2025-15425）
一、漏洞描述：
        
        Yonyou KSOA是中国用友（Yonyou）公司的一个企业级管理软件。
        Yonyou KSOA 9.0版本存在SQL注入漏洞，该漏洞源于对文件/worksheet/del_user.jsp中参数ID的错误操作，攻击者可利用该漏洞获取信息。
二、风险等级：
        高
三、影响范围：
        Yonyou Yonyou KSOA 9.0
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://www.yonyou.com/

---