信息安全漏洞周报（2025年第2期）

信息安全漏洞周报（2025年第2期）
2025-1-14 11:28:0 Author: mp.weixin.qq.com(查看原文) 阅读量:0 收藏

点击蓝字关注我们

漏洞情况

根据国家信息安全漏洞库（CNNVD）统计，本周（2025年1月6日至2025年1月12日）安全漏洞情况如下：

公开漏洞情况

本周CNNVD采集安全漏洞1045个。

接报漏洞情况

本周CNNVD接报漏洞10936个，其中信息技术产品漏洞（通用型漏洞）288个，网络信息系统漏洞（事件型漏洞）334个，漏洞平台推送漏洞10314个。

一
公开漏洞情况

根据国家信息安全漏洞库（CNNVD）统计，本周新增安全漏洞1045个，漏洞新增数量有所上升。从厂商分布来看WordPress基金会新增漏洞最多，有410个；从漏洞类型来看，跨站脚本类的安全漏洞占比最大，达到22.11%。新增漏洞中，超危漏洞25个，高危漏洞142个，中危漏洞865个，低危漏洞13个。

（一）安全漏洞增长数量情况

本周CNNVD采集安全漏洞1045个。

图1 近五周漏洞新增数量统计图

（二）安全漏洞分布情况

从厂商分布来看，WordPress基金会新增漏洞最多，有410个。各厂商漏洞数量分布如表1所示。

表1 新增安全漏洞排名前五厂商统计表

序号	厂商名称	漏洞数量(个)	所占比例
1	WordPress基金会	410	39.23%
2	Linux基金会	99	9.47%
3	Drupal	74	7.08%
4	华为	28	2.68%
5	IBM	21	2.01%

本周国内厂商漏洞86个，华为公司漏洞数量最多，有28个。国内厂商漏洞整体修复率为66.67%。请受影响用户关注厂商修复情况，及时下载补丁修复漏洞。

从漏洞类型来看，跨站脚本类的安全漏洞占比最大，达到22.11%。漏洞类型统计如表2所示。

表2 漏洞类型统计表

序号	漏洞类型	漏洞数量(个)	所占比例
1	跨站脚本	231	22.11%
2	代码问题	43	4.11%
3	跨站请求伪造	36	3.44%
4	SQL注入	35	3.35%
5	代码注入	25	2.39%
6	路径遍历	14	1.34%
7	信息泄露	13	1.24%
8	注入	11	1.05%
9	缓冲区错误	9	0.86%
10	资源管理错误	8	0.77%
11	输入验证错误	8	0.77%
12	权限许可和访问控制问题	5	0.48%
13	授权问题	5	0.48%
14	访问控制错误	5	0.48%
15	命令注入	4	0.38%
16	操作系统命令注入	3	0.29%
17	信任管理问题	3	0.29%
18	竞争条件问题	2	0.19%
19	安全特征问题	2	0.19%
20	参数注入	1	0.10%
21	加密问题	1	0.10%
22	日志信息泄露	1	0.10%
23	其他	580	55.50%

（三）安全漏洞危害等级与修复情况

本周共发布超危漏洞25个，高危漏洞142个，中危漏洞865个，低危漏洞13个。相应修复率分别为80.00%、91.55%、87.17%和76.92%。根据补丁信息统计，合计914个漏洞已有修复补丁发布，整体修复率为87.46%。详细情况如表3所示。

表3 漏洞危害等级与修复情况

序号	危害等级	漏洞数量(个)	修复数量(个)	修复率
1	超危	25	20	80.00%
2	高危	142	130	91.55%
3	中危	865	754	87.17%
4	低危	13	10	76.92%
合计		1045	914	87.46%

（四）本周重要漏洞实例

本周重要漏洞实例如表4所示。

表4 本期重要漏洞实例

序号	漏洞编号	危害等级
1	CNNVD-202501-956	超危
2	CNNVD-202501-1008	高危
3	CNNVD-202501-1299	高危

1. WordPress plugin AdForest 授权问题漏洞（CNNVD-202501-956）

WordPress和WordPress plugin都是WordPress基金会的产品。WordPress是一套使用PHP语言开发的博客平台。该平台支持在PHP和MySQL的服务器上架设个人博客网站。WordPress plugin是一个应用插件。

WordPress plugin AdForest 5.1.6版本及之前版本存在授权问题漏洞，该漏洞源于在更新密码时未正确验证用户身份。攻击者利用该漏洞可以更改任意用户密码并获取账户访问权限。

目前厂商已发布升级补丁以修复漏洞，参考链接：

https://www.wordfence.com/threat-intel/vulnerabilities/id/4ebb766a-44e9-460c-be84-356b7403e593?source=cve

2. Dell VxRail 安全漏洞（CNNVD-202501-1008）

Dell VxRail是美国戴尔（Dell）公司的适用于每个VMware工作负载和用例（包括 VDI、计算密集型应用程序）以及在真正的混合云基础架构上托管传统和现代应用程序的单一HCI平台。

Dell VxRail 8.0.000版本至8.0.311版本存在安全漏洞，该漏洞源于以明文形式存储密码。攻击者利用该漏洞可以获取敏感信息。

目前厂商已发布升级补丁以修复漏洞，参考链接：

https://www.dell.com/support/kbdoc/en-us/000269958/dsa-2025-025-security-update-for-dell-vxrail-for-multiple-vulnerabilities

3. Microsoft Azure Marketplace SaaS 访问控制错误漏洞（CNNVD-202501-1299）

Microsoft Azure Marketplace SaaS是美国微软（Microsoft）公司的一个市场软件。

Microsoft Azure Marketplace SaaS存在访问控制错误漏洞，该漏洞源于访问控制不当。攻击者利用该漏洞可以通过网络泄露敏感信息。

目前厂商已发布升级补丁以修复漏洞，参考链接：

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-21380

二
漏洞平台推送情况

本周CNNVD接收漏洞平台推送漏洞10314个。

表5 本周漏洞平台推送情况

序号	漏洞平台	漏洞总量
1	漏洞盒子	6194
2	360漏洞云	2745
3	补天平台	1375
推送总计		10314

三
接报漏洞情况

本周CNNVD接报漏洞622个，其中信息技术产品漏洞（通用型漏洞）288个，网络信息系统漏洞（事件型漏洞）334个。

表6 本周漏洞报送情况

序号	报送单位	漏洞总量
1	内蒙古数字安全科技有限公司	255
2	个人	74
3	内蒙古旌云科技有限公司	59
4	北京航空航天大学	26
5	星云博创科技有限公司	22
6	北京启明星辰信息安全技术有限公司	15
7	北京长亭科技有限公司	13
8	成都安美勤信息技术股份有限公司	11
9	成都创信华通信息技术有限公司	11
10	道普信息技术有限公司	6
11	华为技术有限公司	6
12	苏州棱镜七彩信息科技有限公司	5
13	丽水市宏志数码科技有限公司	5
14	北京雪诺科技有限公司	5
15	北京寰宇天穹信息技术有限公司	5
16	广州非凡信息安全技术有限公司	5
17	北京中金安服科技有限公司	5
18	黑龙江智泽测评科技有限公司	5
19	广州竞远安全技术股份有限公司	4
20	上海三零卫士信息安全有限公司	4
21	网宿科技股份有限公司	4
22	南京赛宁信息技术有限公司	4
23	北方实验室（沈阳）股份有限公司	3
24	上海煜安华信息安全技术有限公司	3
25	南京聚铭网络科技有限公司	3
26	卫士通（广州）信息安全技术有限公司	3
27	杭州美创科技股份有限公司	3
28	北京天下信安技术有限公司	3
29	湖南安服信息技术有限公司	3
30	北京天融信网络安全技术有限公司	3
31	北京五一嘉峪科技有限公司	3
32	浙江极安信息科技有限公司	2
33	江苏国保信息系统测评中心有限公司	2
34	北京门石信息技术有限公司	2
35	超聚变数字技术有限公司	2
36	中资网络信息安全科技有限公司	2
37	江苏正信信息安全测试有限公司	2
38	山东维平信息安全测评技术有限公司	2
39	北京安普诺信息技术有限公司	2
40	北京安帝科技有限公司	2
41	成都思维世纪科技有限责任公司	2
42	沈阳禾信智安信息技术有限公司	2
43	北京安博通科技股份有限公司	1
44	广西网信信息技术有限公司	1
45	长沙中格创新科技有限公司	1
46	北京云科安信科技有限公司	1
47	浙江宇视科技有限公司	1
48	上海螣龙科技有限公司	1
49	湖南泛联新安信息科技有限公司	1
50	江苏百达智慧网络科技有限公司	1
51	北京微步在线科技有限公司	1
52	上海云盾信息技术有限公司	1
53	新华三技术有限公司	1
54	广东创科安全科技有限公司	1
55	途耀信息技术（上海）有限公司	1
56	长扬科技（北京）股份有限公司	1
57	亚信科技（成都）有限公司	1
58	北京山石网科信息技术有限公司	1
59	北京智游网安科技有限公司	1
60	上海戎磐网络科技有限公司	1
61	安恒愿景（成都）信息科技有限公司	1
62	国网思极检测技术（北京）有限公司	1
63	西安四叶草信息技术有限公司	1
64	江苏君立华域信息安全技术股份有限公司	1
65	内蒙古奥创科技有限公司	1
66	上海计算机软件技术开发中心	1
报送总计		622

四
收录漏洞通报情况

本周CNNVD收录漏洞通报144份。

表7 本周漏洞通报情况

序号	报送单位	通报总量
1	北京金睛云华科技有限公司	19
2	杭州迪普科技股份有限公司	14
3	奇安信网神信息技术（北京）股份有限公司	14
4	中孚安全技术有限公司	13
5	北方实验室（沈阳）股份有限公司	6
6	北京华云安信息技术有限公司	5
7	内蒙古旌云科技有限公司	5
8	南京禾盾信息科技有限公司	4
9	华为技术有限公司	4
10	新华三技术有限公司	4
11	浙江宇视科技有限公司	3
12	沈阳禾信智安信息技术有限公司	3
13	北京安帝科技有限公司	3
14	江苏正信信息安全测试有限公司	3
15	成都网域探行科技有限公司	3
16	西安交大捷普网络科技有限公司	3
17	北京神州绿盟科技有限公司	3
18	超聚变数字技术有限公司	3
19	湖南泛联新安信息科技有限公司	3
20	上海戎磐网络科技有限公司	2
21	贵州蓝天创新科技有限公司	2
22	深圳昂楷科技有限公司	2
23	北京天融信网络安全技术有限公司	2
24	成都创信华通信息技术有限公司	2
25	广州非凡信息安全技术有限公司	2
26	统信软件技术有限公司	2
27	成都安美勤信息技术股份有限公司	2
28	道普信息技术有限公司	1
29	重庆梦之想科技有限责任公司	1
30	北京威努特技术有限公司	1
31	郑州埃文科技有限公司	1
32	山西轩辕信息安全技术有限公司	1
33	深信服科技股份有限公司	1
34	贵州粟詈网络科技有限公司	1
35	北京安天网络安全技术有限公司	1
36	江苏网擎安全技术有限公司	1
37	工业和信息化部电子第五研究所	1
38	华易数安科技(吉林省)有限公司	1
39	杭州安恒信息技术股份有限公司	1
40	南京聚铭网络科技有限公司	1
收录总计		144

文章来源: https://mp.weixin.qq.com/s?__biz=MzAxODY1OTM5OQ==&mid=2651462564&idx=1&sn=2257357922013ed3d0647f6ff408ccd4&chksm=802c5a8cb75bd39a06c730337a0c635a57101c575c414858f7a0ce33932a43aa5723313c62ad&scene=58&subscene=0#rd
如有侵权请联系:admin#unsafe.sh

一公开漏洞情况

二漏洞平台推送情况

三接报漏洞情况

四收录漏洞通报情况

一
公开漏洞情况

二
漏洞平台推送情况

三
接报漏洞情况

四
收录漏洞通报情况