「2025年11月22日」新增「35」条漏洞预警信息，其中
- CVE漏洞预警「32」条
- 商业软件漏洞预警「0」条
- 供应链投毒预警「3」条
CVE漏洞预警
CVE-2025-12973漏洞
漏洞评级： 高危，7.2
修复建议： 强烈建议修复
POC情况： 存在POC
漏洞描述： 关于WordPress的S2B AI Assistant插件（包括ChatBot、ChatGPT、OpenAI、内容和图像生成器功能），在版本1.7.8及之前的所有版本中，存在一个漏洞，即storeFile()函数中缺少文件类型验证，导致存在任意文件上传的风险。这使得拥有编辑级别及以上权限的认证攻击者能够在受影响网站的服务器上上传任意文件，并可能实现远程代码执行。
影响范围：
参考链接： https://www.oscs1024.com/hd/MPS-e4ct-b8us
CVE-2025-12747漏洞
漏洞评级： 中危，5.3
修复建议： 可选修复
POC情况： 暂无POC
漏洞描述： WordPress的Tainacan插件在包括最高版本在内的所有版本中都存在信息泄露漏洞。该漏洞存在于上传的文件被标记为私有，但在wp-content中未得到足够的保护的情况下暴露出来。这使得未经身份验证的攻击者可以从被标记为私有的文件中提取潜在敏感信息。
影响范围：
参考链接： https://www.oscs1024.com/hd/MPS-db2n-o0i4
CVE-2025-13470漏洞
漏洞评级： 高危，7.7
修复建议： 建议修复
POC情况： 暂无POC
漏洞描述： 在RNP版本0.18.0中，重构回归导致用于公钥加密会话密钥（PKESK）数据包的对称会话密钥未被初始化，除了清零之外，它始终是一个全零字节数组。在此版本中，使用公钥加密加密的任何数据都可以通过提供全零会话密钥轻松解密，从而完全破坏了机密性。此漏洞仅影响公钥加密（PKESK数据包）。基于密码的加密（SKESK数据包）不受影响。根本原因：用于生成PKESK数据包的会话密钥缓冲区存在漏洞。缺陷出现在提交7bd9a8dc356aae756b40755be76d36205b6b161a中，其中encrypted_build_skesk()内的初始化逻辑只对SKESK路径进行随机化密钥处理，并省略了PKESK路径的密钥处理。
影响范围：
参考链接： https://www.oscs1024.com/hd/MPS-nq2s-xufv
CVE-2025-64483 漏洞
漏洞评级： 中危，5.3
修复建议： 可选修复
POC情况： 暂无POC
漏洞描述： Wazuh 是一个用于安全检测、可见性和合规性的开源项目。在版本 4.9.0 至 4.13.0 之前，Wazuh API 中的某些配置允许具有只读 API 角色的认证用户通过 /utils/configuration 端点检索代理注册凭据。这些凭据可用于在同一 Wazuh 租户内注册新代理，而无需通过用户界面提升权限。这个问题已在版本 4.13.0 中得到修复。
影响范围： wazuh-dashboard-plugins，[4.9.0,+∞)、(-∞,4.13.0)
参考链接： https://www.oscs1024.com/hd/MPS-9hf1-wq7z
CVE-2025-13132漏洞
漏洞评级： 高危，7.4
修复建议： 建议修复
POC情况： 暂无POC
漏洞描述： 这个漏洞允许网站在用户点击后直接进入全屏模式，而不会出现全屏通知（toast）。由于没有这个通知，如果恶意网站呈现虚假用户界面（如假冒地址栏），用户可能会被误导，不知道他们正在访问哪个网站。
影响范围： Dia，(0,1.6.0)
参考链接： https://www.oscs1024.com/hd/MPS-his7-ofw2
CVE-2025-36149漏洞
漏洞评级： 中危，6.3
修复建议： 可选修复
POC情况： 暂无POC
漏洞描述： IBM Concert软件版本从1.0.0至2.0.0存在漏洞，可能导致远程攻击者劫持受害者的点击操作。
影响范围： IBM Concert Software，(1.0.0,2.0.0]
参考链接： https://www.oscs1024.com/hd/MPS-brl3-8m6q
CVE-2025-13524漏洞
漏洞评级： 中危，6.8
修复建议： 可选修复
POC情况： 暂无POC
漏洞描述： AWS Wickr在Windows、macOS和Linux版本低于6.62.13的情况下，在通话终止过程中存在资源释放不当的问题。这可能导致通话参与者在关闭通话窗口后，仍然继续接收其他用户的音频输入。此问题在某些特定条件下发生，需要受影响用户在应用程序中采取特定操作。为缓解这一问题，用户应将AWS Wickr、Wickr政府和Wickr企业桌面版升级到版本6.62.13。
影响范围：
参考链接： https://www.oscs1024.com/hd/MPS-6eq2-dwa9
CVE-2025-64767漏洞
漏洞评级： 严重，9.1
修复建议： 建议修复
POC情况： 暂无POC
漏洞描述： hpke-js是一个基于Web Cryptography API的混合公钥加密（HPKE）模块。在版本低于1.7.5时，公共SenderContext的Seal() API存在一个竞态条件，允许在多个Seal()调用中重复使用相同的AEAD nonce。这可能导致生成的消息的保密性和完整性完全丧失。这个问题已在版本1.7.5中得到修复。
影响范围： @hpke/core，(-∞,1.7.5)
hpke-js，(-∞,1.7.5)
参考链接： https://www.oscs1024.com/hd/MPS-cnj9-prs4
CVE-2025-64169漏洞
漏洞评级： 中危，5.1
修复建议： 可选修复
POC情况： 暂无POC
漏洞描述： Wazuh 是一个免费开源的平台，用于威胁预防、检测和响应。在版本 3.7.0 到 4.12.0 之前，fim_alert() 实现未检查 oldsum->md5 是否为 NULL 就进行了引用。因此，被攻击的代理可以通过向 wazuh 管理器发送特别定制的消息来导致 analysisd 崩溃。这个问题已在版本 4.12.0 中得到修复。
影响范围： wazuh，(-∞,4.12.0)、[3.7.0,+∞)
参考链接： https://www.oscs1024.com/hd/MPS-pimw-j38a
CVE-2025-62609 漏洞
漏洞评级： 中危，5.5
修复建议： 可选修复
POC情况： 暂无POC
漏洞描述： MLX是Apple硅上用于机器学习的一个数组框架。在版本0.29.4之前，当加载恶意的GGUF文件时，在mlx::core::load_gguf()中存在段错误。来自外部gguflib库的未经验证的指针被取消引用，导致应用程序崩溃。这个问题已在版本0.29.4中得到修复。
影响范围： mlx，(-∞,0.29.4)
mlx，(-∞,0.29.4)
参考链接： https://www.oscs1024.com/hd/MPS-sroe-kxy9
CVE-2025-62608 漏洞
漏洞评级： 中危，5.5
修复建议： 可选修复
POC情况： 暂无POC
漏洞描述： MLX是Apple硅上用于机器学习的数组框架。在版本0.29.4之前，当解析恶意的NumPy .npy文件时，mlx::core::load()中存在堆缓冲区溢出。攻击者控制的文件会导致越界读取13字节，从而导致程序崩溃或信息泄露。这个问题已在版本0.29.4中得到修复。
影响范围： mlx，(-∞,0.29.4)
mlx，(-∞,0.29.4)
参考链接： https://www.oscs1024.com/hd/MPS-ftnw-zsb1
CVE-2025-62626 漏洞
漏洞评级： 高危，7.2
修复建议： 建议修复
POC情况： 暂无POC
漏洞描述： AMD CPU在处理不足的熵时存在不当之处，可能导致本地攻击者影响RDSEED指令返回的数值，进而可能消耗不足够随机的数值。
影响范围：
参考链接： https://www.oscs1024.com/hd/MPS-er67-nqfh
CVE-2025-54866漏洞
漏洞评级： 低危，1.8
修复建议： 可选修复
POC情况： 暂无POC
漏洞描述： Wazuh 是一个免费开源的平台，用于威胁预防、检测和响应。在版本 4.3.0 至 4.13.0 之前，"C:\Program Files (x86)\ossec-agent\authd.pass" 上缺少访问控制列表（ACL），导致本地机器上所有经过身份验证的用户都可以访问此密码。这个问题已在版本 4.13.0 中得到修复。
影响范围： wazuh，[4.3.0,+∞)、(-∞,4.13.0)
参考链接： https://www.oscs1024.com/hd/MPS-rqyg-ijs4
CVE-2025-30201 漏洞
漏洞评级： 高危，7.7
修复建议： 建议修复
POC情况： 暂无POC
漏洞描述： Wazuh是一个免费开源的平台，用于威胁预防、检测和响应。在版本4.13.0之前，Wazuh Agent中存在一个漏洞，允许经过身份验证的攻击者通过恶意UNC路径在各种代理配置设置中强制NTLM身份验证，这可能导致NTLM中继攻击，从而导致特权升级和远程代码执行。这个问题已在版本4.13.0中得到修复。
影响范围： wazuh，(-∞,4.13.0)
参考链接： https://www.oscs1024.com/hd/MPS-hsap-u20y
CVE-2025-48502 漏洞
漏洞评级： 中危，5.5
修复建议： 可选修复
POC情况： 暂无POC
漏洞描述： AMD uprof中的不当输入验证可能会允许本地攻击者覆盖MSR寄存器，从而导致系统崩溃或拒绝服务。
影响范围：
参考链接： https://www.oscs1024.com/hd/MPS-oqrf-xj8b
CVE-2025-11186漏洞
漏洞评级： 中危，6.4
修复建议： 可选修复
POC情况： 暂无POC
漏洞描述： WordPress的GDPR/CCPA插件的Cookie通知合规性存在漏洞，其cookie_accepted短代码存在存储跨站脚本攻击的风险。该风险存在于所有版本至包括（含）版本2.5.8的插件中，由于用户提供的属性输入清理和输出转义不足，使得拥有贡献者级别及以上访问权限的认证攻击者能够在用户访问注入页面时执行任意网页脚本。
影响范围： Cookie Notice & Compliance for GDPR / CCPA，(-∞,2.5.8]
参考链接： https://www.oscs1024.com/hd/MPS-h7t3-bsza
CVE-2025-12889漏洞
漏洞评级： 低危，2.3
修复建议： 可选修复
POC情况： 暂无POC
漏洞描述： 在TLS 1.2连接中，客户端可以使用任何摘要，特别是使用支持的较弱的摘要，而不是CertificateRequest中的摘要。
影响范围：
参考链接： https://www.oscs1024.com/hd/MPS-5mk2-1fzu
CVE-2025-65947漏洞
漏洞评级： 高危，8.7
修复建议： 建议修复
POC情况： 暂无POC
漏洞描述： thread-amount是一个获取当前进程线程数量的工具。在版本0.2.2之前，它在Windows和Apple平台上查询线程数量时存在资源泄漏的问题。在Windows平台上，thread_amount函数会调用CreateToolhelp32Snapshot，但在使用CloseHandle关闭返回的句柄时失败。对该函数的多次调用将导致进程句柄数无限增长，最终会在达到句柄限制时导致系统不稳定或进程终止。在Apple平台上，thread_amount函数通过Mach内核API调用task_threads，为线程列表分配内存。该函数未能使用vm_deallocate释放这些内存。多次调用将导致稳定的内存泄漏，最终可能导致进程被OOM（内存不足）杀手杀死。此问题已在版本0.2.2中得到修复。
影响范围： thread-amount，(-∞,0.2.2)
参考链接： https://www.oscs1024.com/hd/MPS-euyc-679z
CVE-2025-65946漏洞
漏洞评级： 高危，8.1
修复建议： 建议修复
POC情况： 暂无POC
漏洞描述： Roo Code是一个人工智能驱动的自主编码代理，存在于用户的编辑器中。在版本3.26.7之前，由于验证错误，Roo可能会自动执行与允许列表前缀不匹配的命令。这个问题已在版本3.26.7中得到修复。
影响范围： Roo-Code，(-∞,3.26.7)
参考链接： https://www.oscs1024.com/hd/MPS-8xiz-f34w
CVE-2025-11932漏洞
漏洞评级： 低危，2.3
修复建议： 可选修复
POC情况： 暂无POC
漏洞描述： 服务器之前使用非恒定时间方法对TLS 1.3 PSK binder进行了验证，这可能会泄露有关PSK binder的信息。
影响范围：
参考链接： https://www.oscs1024.com/hd/MPS-br79-st5p
CVE-2025-11933漏洞
漏洞评级： 低危，2.3
修复建议： 可选修复
POC情况： 暂无POC
漏洞描述： wolfSSL 5.8.2及之前版本在多平台上处理TLS 1.3 CKS扩展时存在不当的输入验证问题，这使得远程未经验证的攻击者可能通过带有重复CKS扩展的定制ClientHello消息导致拒绝服务攻击。
影响范围：
参考链接： https://www.oscs1024.com/hd/MPS-omec-ds6w
CVE-2025-11936漏洞
漏洞评级： 中危，6.3
修复建议： 可选修复
POC情况： 暂无POC
漏洞描述： 在多个平台的wolfSSL v5.8.2版本中，TLS 1.3 KeyShareEntry解析存在不当的输入验证，这使得远程未经验证的攻击者能够通过发送包含相同支持组重复KeyShareEntry值的定制ClientHello消息，导致在处理ClientHello期间CPU和内存消耗过大，从而造成拒绝服务攻击。
影响范围：
参考链接： https://www.oscs1024.com/hd/MPS-tw2o-un5b
CVE-2025-11934漏洞
漏洞评级： 低危，2.1
修复建议： 可选修复
POC情况： 暂无POC
漏洞描述： 在多平台上的wolfSSL 5.8.2及更早版本中，TLS 1.3 CertificateVerify签名算法协商存在不当的输入验证，这允许降级使用的签名算法。例如，当客户端发送ECDSA P521作为支持的签名算法时，服务器原本可以响应接受ECDSA P256作为签名算法，如果客户端支持ECDSA P256，连接将继续使用ECDSA P256。
影响范围：
参考链接： https://www.oscs1024.com/hd/MPS-jd4p-l0z2
CVE-2025-12888漏洞
漏洞评级： 低危，1
修复建议： 可选修复
POC情况： 暂无POC
漏洞描述： 针对基于Xtensa的ESP32芯片的X25519常量时间密码实现存在漏洞，该漏洞是由于编译器优化和CPU架构限制引入的时间侧信道导致的。如果目标针对Xtensa，建议使用X25519的低内存实现版本，现在该版本已作为Xtensa的默认设置开启。
影响范围：
参考链接： https://www.oscs1024.com/hd/MPS-2sr5-39qk
CVE-2025-11931漏洞
漏洞评级： 低危，2.1
修复建议： 可选修复
POC情况： 暂无POC
漏洞描述： 整数溢出导致XChaCha20-Poly1305解密时出现越界访问问题。这个问题具体发生在调用函数wc_XChaCha20Poly1305_Decrypt()时，该函数仅在应用程序的直接调用中使用，不用于TLS连接。
影响范围：
参考链接： https://www.oscs1024.com/hd/MPS-tibd-45x6
CVE-2025-13136漏洞
漏洞评级： 中危，4.3
修复建议： 可选修复
POC情况： 暂无POC
漏洞描述： WordPress中的Ninja Forms插件的GSheetConnector组件在直至并包括2.0.1的所有版本中，由于缺少对'njform-google-sheet-config'页面的能力检查，存在数据未经授权访问的漏洞。这使得拥有订阅者级别及以上访问权限的认证攻击者能够检索系统信息。
影响范围： GSheetConnector For Ninja Forms，(-∞,2.0.1]
参考链接： https://www.oscs1024.com/hd/MPS-gtiz-3qna
CVE-2025-13318漏洞
漏洞评级： 中危，5.3
修复建议： 可选修复
POC情况： 暂无POC
漏洞描述： WordPress中的Booking Calendar Contact Form插件在直至并包括1.2.60的所有版本中均存在缺少授权的问题。这是由于在dex_bccf_check_IPN_verification函数中缺少授权检查和支付验证。这使得未经身份验证的攻击者可以通过"dex_bccf_ipn"参数任意确认预订和绕过支付要求。
影响范围： Booking Calendar Contact Form，(-∞,1.2.60]
参考链接： https://www.oscs1024.com/hd/MPS-y7ow-68fl
CVE-2025-13384漏洞
漏洞评级： 高危，7.5
修复建议： 建议修复
POC情况： 暂无POC
漏洞描述： WordPress中的CP联系表格与PayPal插件存在授权缺失漏洞，该漏洞存在于所有版本至包括1.3.56版本。这是由于插件暴露了一个未经身份验证的类似于即时付款通知（IPN）的端点（通过"cp_contactformpp_ipncheck"查询参数），该端点在处理支付确认时没有任何身份验证、nonce验证或PayPal IPN签名验证。这使得未经身份验证的攻击者可以通过发送带有任意POST数据（如payment_status、txn_id、payer_email）的伪造支付通知请求来标记表单提交为已支付状态，而无需实际进行支付操作。
影响范围： CP Contact Form with PayPal，(-∞,1.3.56]
参考链接： https://www.oscs1024.com/hd/MPS-v6tq-yj8z
CVE-2025-13317漏洞
漏洞评级： 中危，5.3
修复建议： 可选修复
POC情况： 暂无POC
漏洞描述： WordPress中的Appointment Booking Calendar插件存在缺失授权漏洞，该漏洞存在于所有版本，包括最高版本至1.3.96。该漏洞是由于插件暴露了一个未经身份验证的预约处理端点（cpabc_appointments_check_IPN_verification），该端点信任攻击者提供的支付通知，但没有验证其来源、真实性或进行必要的授权检查。这使得未经身份验证的攻击者可以通过"cpabc_ipncheck"参数任意确认预约并将其插入实时日历，触发管理员和客户通知电子邮件并干扰操作。
影响范围： Appointment Booking Calendar，(-∞,1.3.96]
参考链接： https://www.oscs1024.com/hd/MPS-g0xw-3aly
CVE-2025-12877漏洞
漏洞评级： 中危，5.3
修复建议： 可选修复
POC情况： 暂无POC
漏洞描述： WordPress中的IDonate -- 献血捐赠、请求和捐赠者管理系统插件存在漏洞，可能导致未经授权的修改数据。该漏洞出现在所有版本至包括2.1.15的panding_blood_request_action()函数中缺少权限检查。这使得未经身份验证的攻击者有可能删除任意帖子。
影响范围： IDonate -- Blood Donation, Request And Donor Management System，(-∞,2.1.14]
参考链接： https://www.oscs1024.com/hd/MPS-xseo-081y
CVE-2025-12752漏洞
漏洞评级： 中危，5.3
修复建议： 可选修复
POC情况： 暂无POC
漏洞描述： WordPress中用于PayPal的订阅与会员插件在直至并包括1.1.7版本中都存在伪造支付创建漏洞。这是由于插件未能妥善验证即时付款通知（IPN）请求的真实性，使得未经身份验证的攻击者能够创建实际并未发生的虚假支付条目。
影响范围： Subscriptions & Memberships for PayPal，(-∞,1.1.7]
参考链接： https://www.oscs1024.com/hd/MPS-przs-gaqm
CVE-2025-13526 漏洞
漏洞评级： 高危，7.5
修复建议： 建议修复
POC情况： 暂无POC
漏洞描述： WordPress的OneClick Chat to Order插件在包括1.0.8版本在内的所有版本中，都存在不安全的直接对象引用漏洞。该漏洞存在于'wa_order_thank_you_override'函数中，由于缺少对用户控制键的验证，使得未经验证的攻击者可以通过简单地更改URL中的订单ID来查看敏感客户信息，包括姓名、电子邮件地址、电话号码、账单/发货地址、订单内容和付款方式。
影响范围： OneClick Chat to Order，(-∞,1.0.8]
参考链接： https://www.oscs1024.com/hd/MPS-kf3r-t4lv
供应链投毒预警
NPM组件 hellospa 等窃取主机敏感信息
漏洞描述： 当用户安装受影响版本的 hellospa 等NPM组件包时会窃取用户的主机名、用户名、公网 IP等信息并发送到攻击者可控的服务器地址。
影响范围： hellospa，[90.9.0,90.9.0]、[91.9.1,91.9.1]
参考链接： https://www.oscs1024.com/hd/MPS-c97l-ysav
NPM组件 @eagleview/ev-mapviewer-interactions 等窃取主机敏感信息
漏洞描述： 当用户安装受影响版本的 @eagleview/ev-mapviewer-interactions 等NPM组件包时会窃取用户的主机名、用户名、IP地址等信息并发送到攻击者可控的服务器地址。
影响范围： @eagleview/ev-mapviewer-interactions，[11.0.0,11.0.0]
airbnb-blueimp-file-upload，[95.6.0,96.8.0]
airbnb-luxury-messaging，[92.4.0,92.4.0]
airbnb-phoenix，[93.4.0,93.4.0]
airbnb-react-router-legacy，[97.1.0,97.1.0]
airbnb-react-router-legacy-v3，[94.5.0,94.5.0]
airbnb-story-constants，[1.0.0,91.3.0]
airbnb-vermeer-node，[95.6.0,95.6.0]
instacart-ui，[296.8.0,296.8.0]
o2-modal，[97.1.0,97.1.0]
o2-tooltip，[97.1.0,97.1.0]
optly，[90.0.0,90.6.6]
参考链接： https://www.oscs1024.com/hd/MPS-ares-itnd
NPM组件 bootstrap-setcolor 等窃取主机敏感信息
漏洞描述： 当用户安装受影响版本的 bootstrap-setcolor 等NPM组件包时会窃取用户的主机名、用户名、IP地址等信息并发送到攻击者可控的服务器地址。
影响范围： bootstrap-setcolor，[1.9.15,1.9.16]
bootstrap-setflexcolor，[1.9.15,1.9.15]
chai-auth，[5.1.0,5.1.0]
doordash-ui，[95.6.0,95.6.0]
email-validated，[1.0.4,1.0.4]
epicgames-ui，[1.0.0,291.8.0]
hilton-ui，[296.8.0,296.8.0]
hyatt-ui，[291.8.0,291.8.0]
json-getin，[7.2.7,7.2.7]
linkedin-ui，[85.8.0,85.8.0]
lyft-ui，[85.8.0,85.8.0]
notaica-mcp-client，[1.0.0,1.1.0]
react-phone-list，[1.0.6,1.0.6]
react-svgs-helper，[1.0.0,1.0.0]
sentry-ui，[296.8.0,296.8.0]
snapchat-ui，[96.8.0,96.8.0]
uber-ui，[95.6.0,95.6.0]
vite-react-setting，[0.7.6,0.7.6]
wishlist_dropdown，[97.1.0,97.1.0]
参考链接： https://www.oscs1024.com/hd/MPS-uakt-4w16