漏洞风险提示（20220804）

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表安天实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和安天实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与安天实验室一律不予承担。

---

1ChatBot App with Suggestion SQL注入漏洞（CVE-2022-31969）
一、漏洞描述：     
       
       
        ChatBot App with Suggestion是Carlo Montero个人开发者的一个带有建议功能的ChatBot应用程序。
        ChatBot App with Suggestion v1.0版本存在SQL注入漏洞，该漏洞源于/simple_chat_bot/admin/?page=user/manage_user＆id=页面缺少对外部输入SQL语句的验证，攻击者可利用该漏洞执行非法SQL命令窃取数据库敏感数据。

二、风险等级：
           高危
三、影响范围：
        Carlo Montero ChatBot App with Suggestion v1.0
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://www.sourcecodester.com/p ... ee-source-code.html

---

2 TotoLink A3100R命令注入漏洞（CNVD-2022-54652）
一、漏洞描述：     
       
        TotoLink A3100R是中国台湾吉翁电子（TotoLink）公司的一系列无线路由器。
        TotoLink A3100R V4.1.2cu.5050_B20200504版本和V4.1.2cu.5247_B20211129版本存在命令注入漏洞，该漏洞源于uci_cloudupdate_config函数中的magicid参数未能正确过滤构造命令特殊字符、命令等，攻击者可利用该漏洞导致任意命令执行。
二、风险等级：
          高危
三、影响范围：
        TOTOLINK A3100R V4.1.2cu.5050_B20200504
        TOTOLINK A3100R V4.1.2cu.5247_B20211129
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://www.totolink.net/home/me ... /id/170/ids/36.html

---

3TotoLink EX300_v2命令注入漏洞（CVE-2021-43663）
一、漏洞描述：     
       
        TotoLink EX300是中国TotoLink公司的一款 300 Mbps 无线 N 范围扩展器。
        TotoLink EX300_v2 V4.0.3c.140_B20210429版本存在命令注入漏洞，未经身份验证的攻击者可利用该漏洞通过MitM攻击以root身份远程执行代码。
二、风险等级：
          高危
三、影响范围：
        TOTOLINK EX300_v2 V4.0.3c.140_B20210429
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        http://www.totolink.cn/

---

4 Google Android安全绕过漏洞（CNVD-2022-54478）
一、漏洞描述：     
       
        Google Android是美国谷歌（Google）公司的一套以Linux为基础的开源操作系统。
        Google Android存在安全漏洞，攻击者可利用该漏洞绕过身份验证并获得访问权限。
二、风险等级：
           高危
三、影响范围：
        Google Android
四、修复建议：
        目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
        https://www.unigroup.com.cn/