「2025年11月29日」新增「10」条漏洞预警信息，其中
- CVE漏洞预警「7」条
- 商业软件漏洞预警「0」条
- 供应链投毒预警「3」条
CVE漏洞预警
CVE-2025-12183漏洞
漏洞评级： 高危，8.8
修复建议： 建议修复
POC情况： 暂无POC
漏洞描述： 在org.lz4的lz4-java版本1.8.0及更早版本中，存在边界外的内存操作漏洞，这使得远程攻击者能够通过不受信任的被压缩输入导致拒绝服务并读取相邻内存。
影响范围：
参考链接： https://www.oscs1024.com/hd/MPS-tpl2-q0b5
CVE-2025-13683漏洞
漏洞评级： 中危，6.5
修复建议： 可选修复
POC情况： 暂无POC
漏洞描述： 在Devolutions Server和Windows上的远程桌面管理器中存在意外请求泄露凭据的问题。这个问题影响Devolutions Server的版本至2025.3.8.0，以及远程桌面管理器的版本至2025.3.23.0。
影响范围：
参考链接： https://www.oscs1024.com/hd/MPS-2xhj-vzyf
CVE-2025-64715漏洞
漏洞评级： 中危，4
修复建议： 可选修复
POC情况： 暂无POC
漏洞描述： Cilium 是一个基于 eBPF 的网络、可观察性和安全解决方案。在 1.16.17、1.17.10 和 1.18.4 版本之前，CiliumNetworkPolicy 使用 egress.toGroups.aws.securityGroupsIds 引用不存在的 AWS 安全组 ID 或未附加到任何网络接口的安全组 ID 时，可能会意外允许比策略作者意图更广泛的出站访问。在这种情况下，派生策略的 toCIDRset 部分不会生成，这意味着出站流量可能被允许传输到比原始意图更多的目的地。此问题已在 1.16.17、1.17.10 和 1.18.4 版本中得到修复。对于此问题，没有可行的解决方案。
影响范围： cilium，(-∞,1.18.4)、(-∞,1.17.10)、[1.18.0,+∞)、(-∞,1.16.17)、[1.17.0,+∞)
参考链接： https://www.oscs1024.com/hd/MPS-xm0o-6vqu
CVE-2025-65112漏洞
漏洞评级： 严重，9.4
修复建议： 建议修复
POC情况： 暂无POC
漏洞描述： PubNet 是一个自托管的 Dart 和 Flutter 包服务。在版本 1.1.3 之前，PubNet 的 /api/storage/upload 端点允许未认证的用户通过提供任意的作者 ID 值来冒充任何用户上传包。这会导致身份伪装、权限提升和供应链攻击。这个问题已在版本 1.1.3 中得到修复。
影响范围： PubNet，(-∞,1.1.3)
参考链接： https://www.oscs1024.com/hd/MPS-26ve-iwcz
CVE-2025-65113漏洞
漏洞评级： 中危，6.5
修复建议： 可选修复
POC情况： 暂无POC
漏洞描述： ClipBucket v5是一个开源的视频共享平台。在版本5.5.2之前（即版本#164），AJAX标记系统中的授权绕过漏洞允许任何未经验证的用户标记平台上的任何内容（用户、视频、照片、集合）。这可能导致大规模标记攻击、内容破坏以及滥用管理系统。该问题已在版本5.5.2（即版本#164）中得到修复。
影响范围： clipbucket-v5，(-∞,5.5.2-#164)
参考链接： https://www.oscs1024.com/hd/MPS-pinu-207j
CVE-2025-66034漏洞
漏洞评级： 中危，6.3
修复建议： 可选修复
POC情况： 暂无POC
漏洞描述： fontTools是一个用于操作字体的Python库。在版本从4.33.0到低于4.60.2的版本中，fonttools varLib脚本（或python3 -m fontTools.varLib）存在一个任意文件写入漏洞，当处理恶意".designspace"文件时，会导致远程代码执行。这一漏洞影响了fontTools.varLib的主代码路径，被fonttools varLib命令行界面以及任何调用fontTools.varLib.main()的代码所使用。这一问题已在版本4.60.2中得到修复。
影响范围： fonttools，[4.33.0,+∞)、(-∞,4.60.2)
参考链接： https://www.oscs1024.com/hd/MPS-qbny-e04g
CVE-2025-66027漏洞
漏洞评级： 高危，7.1
修复建议： 建议修复
POC情况： 暂无POC
漏洞描述： Rallly是一款开源的调度和协作工具。在版本4.5.6之前，存在一个信息披露漏洞，通过/api/trpc/polls.get，polls.participants.list端点会暴露参与者的详细信息，包括姓名和电子邮件地址，即使启用了Pro隐私功能也无法避免这一风险。这绕过了旨在阻止参与者查看其他用户个人信息的隐私控制。这个问题已在版本4.5.6中得到修复。
影响范围： rallly，(-∞,4.5.6)
参考链接： https://www.oscs1024.com/hd/MPS-lxwp-7tv5
供应链投毒预警
NPM组件 velocitytunedx401 等窃取主机敏感信息
漏洞描述： 当用户安装受影响版本的 velocitytunedx401 等NPM组件包时会窃取用户的主机名、用户名、IP地址等信息并发送到攻击者可控的服务器地址。
影响范围： velocitytunedx401，1.1.3,1.1.3、1.0.3,1.0.3
参考链接： https://www.oscs1024.com/hd/MPS-4mr2-bye0
NPM组件包 demo-awesome-date-parser 窃取用户敏感信息
漏洞描述： 当用户安装受影响版本的 demo-awesome-date-parser NPM组件包时会窃取用户的网页表单数据、localStorage和剪贴板信息并发送到攻击者可控的服务器。
影响范围： demo-awesome-date-parser，1.34.0,1.34.0、1.36.0,1.36.0
参考链接： https://www.oscs1024.com/hd/MPS-ja3k-de4l
NPM组件 @reform-digital/tooltip-x 等窃取主机敏感信息
漏洞描述： 当用户安装受影响版本的 @reform-digital/tooltip-x 等NPM组件包时会窃取用户主机名、用户名、工作目录、IP地址等信息并发送到攻击者可控的服务器地址。
影响范围： @reform-digital/tooltip-x，1.0.9,1.0.9、1.1.0,1.1.0
参考链接： https://www.oscs1024.com/hd/MPS-w10r-8bta