漏洞风险提示（20220714）

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1 Django Extract & Trunc SQL注入漏洞（CVE-2022-34265）
一、漏洞描述：     
       
        Django是Django基金会的一套基于Python语言的开源Web应用框架。该框架包括面向对象的映射器、视图系统、模板系统等。
        该漏洞是由于Django 3.2.14 版本之前 3.2 版本和 4.0.6 版本之前的 4.0 版本存在SQL注入漏洞，该漏洞源于如果将不受信任的数据用作 kind/lookup_name 值，则 Trunc() 和 Extract() 数据库函数会受到 SQL 注入的影响。
二、风险等级：
           高危
三、影响范围：
          Django 3.2.x prior to 3.2.14
          Django 4.0.x prior to 4.0.6
四、修复建议：
        目前厂商已发布升级了Django SQL注入漏洞的补丁，Django SQL注入漏洞的补丁获取链接：
        https://www.djangoproject.com/we ... /security-releases/

---

2 Trilium Notes 跨站脚本漏洞（CVE-2022-2365）
一、漏洞描述：     
       
        Trilium Notes是Zadam个人开发者的一个分层笔记应用程序。专注于构建大型个人知识库。
        Trilium Notes v0.53.1版本存在跨站脚本漏洞，攻击者利用该漏洞可以 note 字段的名称执行XSS 负载。
二、风险等级：
           中危
三、影响范围：
        Trilium Notes v0.53.1
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，详情请关注厂商主页：
        https://github.com/zadam/trilium

---

3 Joomlatools DOCman 跨站脚本漏洞（CVE-2022-27910）
一、漏洞描述：     
       
        Joomlatools DOCman是Joomlatools公司的适用于Joomla!文档和下载管理器扩展。
        Joomlatools DOCman 3.5.13 存在安全漏洞，该漏洞源于图像上传功能中存在跨站脚本。
二、风险等级：
           中危
三、影响范围：
        Joomlatools DOCman 3.5.13
四、修复建议：
        目前厂商已发布升级了Joomlatools DOCman 安全漏洞的补丁，Joomlatools DOCman 安全漏洞的补丁获取链接：
        https://www.joomlatools.com/extensions/docman/changelog/3.5.14

---

4  Vim拒绝服务漏洞（CVE-2022-2345）
一、漏洞描述：     
       
        Vim是一款跨平台的文本编辑器。
        Vim 9.0.0046之前的版本存在安全漏洞，该漏洞源于函数 skipwhite 中的堆使用后释放，攻击者利用该漏洞可以触发拒绝服务，并可能运行代码。
二、风险等级：
           高危
三、影响范围：
        Vim 9.0.0046之前的版本存在
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，详情请关注厂商主页：
        https://github.com/vim/vim