「关键漏洞目录」新增「ISC BIND拒绝服务漏洞(CVE-2015-5477)」等6个漏洞
摄星科技
摄星科技
关键漏洞目录
2026年10月9日 13:02
北京
在小说阅读器读本章
去阅读
在公众号小说中沉浸阅读
摄星科技
关键漏洞目录
新增 6 个漏洞 · 2026-10-09
01
ISC BIND拒绝服务漏洞(CVE-2015-5477)
CVE-2015-5477中危
CNVD：CNVD-2015-05040CNNVD：CNNVD-201507-807
公开日期：2015-07-28 08:00:00
CVSS 3.1：7.5
AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
远程公开PoCAPT漏洞CISA KEV关键漏洞
漏洞描述
ISC BIND是美国Internet Systems Consortium（ISC）公司所维护的一套实现了DNS协议的开源软件。ISC BIND 9.9.7-P1及之前版本和9.10.2-P2及之前版本的named中存在安全漏洞。远程攻击者可借助TKEY查询利用该漏洞造成拒绝服务（REQUIRE断言失败和守护进程退出）。
修复建议
目前厂商已经发布了升级补丁以修复此安全问题，补丁获取链接：
https://kb.isc.org/article/AA-01272
02
Apache Struts 2任意代码执行漏洞
CVE-2016-3081高危
CNVD：CNVD-2016-02506CNNVD：CNNVD-201604-585
公开日期：2016-04-25 08:00:00
CVSS 3.1：8.1
AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
远程公开PoCCISA KEV关键漏洞CWE Top 25 (2023)开源组件漏洞2024两高一弱互联网漏洞2024两高一弱内网漏洞CWE Top 25 (2024)2025两高一弱漏洞
漏洞描述
Apache Struts是美国阿帕奇（Apache）软件基金会的一个开源项目，是一套用于创建企业级Java Web应用的开源MVC框架，主要提供两个版本框架产品，Struts 1和Struts 2。Apache Struts 2中存在命令注入漏洞。当程序启用Dynamic Method Invocation时，远程攻击者可借助method:前缀利用该漏洞在服务器端执行任意代码。以下版本受到影响：Apache Struts 2.3.20.2之前2.x版本，2.3.24.2之前2.3.24.x版本，2.3.28.1之前2.3.28.x版本。
修复建议
目前厂商已经发布了升级补丁以修复此安全问题，补丁获取链接：
https://struts.apache.org/docs/s2-032.html
03
Strapi信息泄露漏洞(CVE-2023-22894)
CVE-2023-22894中危
CNVD：CNVD-2023-29763CNNVD：CNNVD-202304-1613
公开日期：2023-04-19 00:47:44
CVSS 3.1：4.9
AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N
远程公开PoCCISA KEV关键漏洞漏洞攻击链开源组件漏洞2024两高一弱互联网漏洞CWE Top 25 (2024)2025两高一弱漏洞智能分析漏洞
漏洞描述
Strapi 4.7.1之前版本中的漏洞允许未经身份验证的攻击者发现Strapi管理员和API用户的敏感用户详细信息。通过根据包含敏感信息的列筛选用户，攻击者可以通过分析API响应中的变化来推断值。可能会导致Strapi管理员帐户被劫持以及作为Strapi超级管理员未经授权的访问。此漏洞可以与CVE-2023-22621形成漏洞攻击链，实现远程代码执行。
修复建议
请升级到4.8.0及以上版本。参考链接：
https://github.com/strapi/strapi/commit/e239e408f99c9e61e6d02b38f01632ce67412f2a
https://strapi.io/blog/security-disclosure-of-vulnerabilities-cve
https://github.com/strapi/strapi/releases
04
Strapi服务端模板注入漏洞
CVE-2023-22621高危
CNVD：CNVD-2023-29765CNNVD：CNNVD-202304-1615
公开日期：2023-04-19 00:47:52
CVSS 3.1：7.2
AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
远程公开PoC关键漏洞漏洞攻击链开源组件漏洞
漏洞描述
Strapi是一套开源的内容管理系统（CMS）。Strapi 4.5.5之前版本中Users-Permissions插件（默认安装）邮件模板系统存在服务端模板注入（SSTI）漏洞，攻击者在获得管理面板访问权限后可向邮件模板注入恶意代码，在服务端执行任意代码。此漏洞与CVE-2023-22894形成漏洞攻击链，实现远程代码执行。
修复建议
请升级到4.8.0及以上版本。参考链接：
https://github.com/strapi/strapi
05
ONLYOFFICE Document Server路径遍历漏洞
CVE-2021-3199超危
CNVD：CNVD-2021-17251CNNVD：CNNVD-202101-2236
公开日期：2021-01-22 10:41:34
CVSS 3.1：9.8
AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
远程无需认证公开PoCCISA KEV关键漏洞CWE Top 25 (2023)CWE Top 25 (2024)
漏洞描述
Ascensio System ONLYOFFICE Document Server是拉脱维亚Ascensio System公司的一套在线办公协作套件。该产品支持文本、电子表格和演示文稿的查看和编辑等。ONLYOFFICE Document Server upload 5.6.3存在安全漏洞，该漏洞源于程序使用JWT时，可以通过一个/..图像上传参数中的序列。
修复建议
目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
https://github.com/ONLYOFFICE/DocumentServer/blob/903fe5ab7a275bd69c3c3346af2d21cf87ebeabf/CHANGELOG.md#563
06
ProFTPD mod\_copy模块命令执行漏洞
CVE-2015-3306超危
CNVD：CNVD-2015-02769CNNVD：CNNVD-201505-070
公开日期：2015-05-18 23:00:00
CVSS 3.1：10.0
AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
远程公开PoCCISA KEV关键漏洞2024两高一弱互联网漏洞2025两高一弱漏洞
漏洞描述
ProFTPD是ProFTPD团队的一套开源的FTP服务器软件。该软件具有可配置性强、安全、稳定等特点。 ProFTPD 1.3.5版本的mod\_copy模块中存在安全漏洞。远程攻击者可借助site cpfr和site cpto命令利用该漏洞读取和写入任意文件。
修复建议
应用此漏洞的修补程序，可从ProFTPD GIT存储库获得。参考链接：
https://github.com/proftpd/proftpd/pull/109
http://bugs.proftpd.org/show\_bug.cgi?id=4169
http://www.proftpd.org
服务和支持
“关键漏洞目录”由摄星科技维护，可通过 https://www.vulinsight.com.cn/keyFlawCatalog 查看详细内容。并可下载 CSV、JSON 格式全量漏洞数据。
企业用户可通过玄猫定制化情报 SaaS 平台（xm.vulinsight.com.cn）、摄星漏洞管控平台获取服务和支持。
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论