摘要
以下内容，均摘自于互联网，由于传播，利用此文所提供的信息而造成的任何直接或间接的后果和损失，均由使用者本人负责，雷神众测以及文章作者不承担任何责任。
雷神众测拥有该文章的修改和解释权。如欲转载或传播此文章，必须保证此文章的副本，包括版权声明等全部内容。声明雷神众测允许，不得任意修改或增减此文章内容，不得以任何方式将其用于商业目的。
目录
1.Spring Security身份验证绕过漏洞
2.Apache DolphinScheduler<3.2.1 任意代码执行漏洞
3.pgjdbc 存在SQL注入漏洞
4.北京亿赛通科技发展有限责任公司电子文档安全管理系统存在命令执行漏洞
漏洞详情
1.Spring Security身份验证绕过漏洞
漏洞介绍：
Spring Security是一个功能强大且高度可定制的身份验证和访问控制框架，作为Spring生态系统的一部分，Spring Security可以轻松集成到任何Spring应用中，提供声明式的安全配置。
漏洞危害：
该漏洞使应用程序容易受到损坏的访问控制的影响，向其传递一个身份验证参数导致返回值错误，攻击者可以利用该漏洞绕过身份验证。
漏洞编号：
CVE-2024-22234
影响范围：
6.1.0<=Spring Security<6.1.7
6.2.0<=Spring Security<6.2.2
修复方案：
及时测试并升级到最新版本或升级版本
来源：安恒信息CERT
2.Apache DolphinScheduler<3.2.1 任意代码执行漏洞
漏洞介绍：
Apache Dolphinscheduler 是开源的分布式任务调度系统。
漏洞危害：
受影响版本中，由于 SwitchTaskUtils#generateContentWithTaskParams 方法未对用户可控的任务参数有效过滤，攻击者可构造包含模版字符串(如：${cmd})或Unicode编码的恶意参数创建数据处理任务，当程序执行时会在服务器上执行任意可逃逸沙箱的 JavaScript 代码。
漏洞编号：
CVE-2024-23320
影响范围：
org.apache.dolphinscheduler:dolphinscheduler@(-∞, 3.2.1)
修复方案：
及时测试并升级到最新版本或升级版本
来源：OSCS
3.pgjdbc 存在SQL注入漏洞
漏洞介绍：
pgjdbc 是PostgreSQL的JDBC驱动程序。
漏洞危害：
pgjdbc 受影响版本中配置为使用简单查询模式(preferQueryMode=SIMPLE，非默认情况)时存在SQL注入。
当SQL占位符前存在负号（-）时，用户传入的参数值中负号会被错误解释为行注释，攻击者可利用该特征造成SQL注入，破坏原有语句结构。
漏洞编号：
CVE-2024-1597
影响范围：
org.postgresql:postgresql@(-∞, 42.2.28.jre7)
org.postgresql:postgresql@[42.3.0, 42.3.9)
org.postgresql:postgresql@[42.4.0, 42.4.4)
org.postgresql:postgresql@[42.5.0, 42.5.5)
org.postgresql:postgresql@[42.6.0, 42.6.1)
org.postgresql:postgresql@[42.7.0, 42.7.2)
修复方案：
及时测试并升级到最新版本或升级版本
来源：OSCS
4.北京亿赛通科技发展有限责任公司电子文档安全管理系统存在命令执行漏洞
漏洞介绍：
电子文档安全管理系统是一款可控授权的电子文档安全共享管理系统，采用实时动态加解密保护技术和实时权限回收机制，提供对各类电子文档内容级的安全保护。
漏洞危害：
北京亿赛通科技发展有限责任公司电子文档安全管理系统存在命令执行漏洞，攻击者可利用该漏洞执行任意命令。
影响范围：
北京亿赛通科技发展有限责任公司 电子文档安全管理系统
修复方案：
及时测试并升级到最新版本或升级版本
来源：CNVD
专注渗透测试技术
全球最新网络攻击技术
END
如有侵权请联系:admin#unsafe.sh