公开漏洞精选

1.1   Adminer 4.8.1 PHP 对象注入导致拒绝服务漏洞

漏洞详情

发布日期：2025-08-25

漏洞编号：CVE-2025-43960

漏洞描述：Adminer 是一款轻量级的数据库管理工具，支持多种数据库类型，常用于开发和小型生产环境中。Monolog 是 PHP 的一个流行日志库，提供了灵活的日志记录功能。在 Adminer 版本 4.8.1 中，当使用 Monolog 进行日志记录时，存在一个漏洞。攻击者可以通过发送精心构造的序列化负载（例如使用 's:1000000000'）触发 PHP 对象注入问题。这种攻击会导致系统分配过量内存，从而使 Adminer 的界面无法响应，最终导致服务器级别的拒绝服务（DoS）。多个并发请求可能会导致服务器完全崩溃，需要手动干预才能恢复。

漏洞类型：不安全的反序列化

漏洞评级：高危

利用方式：远程

PoC状态：已公开

影响范围：

Adminer < 4.8.1

修复方案

官方补丁：已发布

官方修复：官方已发布补丁更新包，请升级至无漏洞版本进行修复。

参考链接：

https://nvd.nist.gov/vuln/detail/CVE-2025-43960 

1.2 Langflow CLI Superuser 创建特权提升漏洞

漏洞详情

发布日期：2025-08-25

漏洞编号：CVE-2025-57760

漏洞描述：Langflow 是一个用于构建和部署 AI 驱动的代理和工作流的工具，其主要功能是提供一个基于 Docker 部署的应用环境，用于用户管理和工作流管理。漏洞的成因在于 Langflow 容器中存在的内部 CLI 命令 **langflow superuser**，该命令允许任意用户创建新的超级管理员账户。结合远程代码执行漏洞（例如通过 **/api/v1/validate/code** 端点），具备少量权限的用户可以通过命令 `/app/.venv/bin/langflow superuser` 在容器内部提权为超级管理员。这一漏洞绕过了前端角色限制以及后端用户完整性校验，从而导致 Langflow 应用的完全被接管。

漏洞类型：权限提升

利用方式：远程

漏洞评级：高危

PoC状态：已公开

影响范围：langflow (, 1.5.0]

修复方案

官方补丁：已发布

官方修复：官方已发布补丁更新包，请升级至无漏洞版本进行修复。

参考链接：

https://nvd.nist.gov/vuln/detail/CVE-2025-57760

1.3 DataEase H2 JDBC 远程代码执行绕过漏洞

漏洞详情

发布日期：2025-08-25

漏洞编号：CVE-2025-57772  

漏洞描述：DataEase 是一个开源的商业智能和数据可视化工具，广泛用于数据分析和业务决策支持。该漏洞出现在 DataEase 2.10.12 版本之前，涉及 H2 数据库的 JDBC URL 解析机制。攻击者可以通过构造特定的 JDBC URL，绕过 H2 数据库的过滤逻辑，从而通过 getJdbcUrl 方法获取不受限制的 JDBC URL。这允许攻击者指定 'driver':'org.h2.Driver' 来直接加载 H2 驱动程序，从而建立恶意连接并执行任意代码。漏洞根源在于对传入的 JDBC URL 校验不足，导致过滤机制失效。

漏洞类型：远程代码执行

利用方式：远程

漏洞评级：高危

PoC状态：已公开

影响范围： 

DataEase <2.10.12

修复方案

官方补丁：已发布

官方修复：官方已发布补丁更新包，请升级至无漏洞版本进行修复。

参考链接：

https://nvd.nist.gov/vuln/detail/CVE-2025-57772

组件投毒情报

2.1 NPM组件epxreso 开展数字钱包应用敏感数据窃密及远控控制攻击

投毒详情

投毒概述：

组件 epxreso 的 lib/express.js 文件被植入混淆恶意代码，主要功能包括窃取系统平台信息（用户名、系统版本、系统IP地址等）、窃取浏览器用户密码及登录凭证、窃取数字货币钱包应用敏感数据、远控控制等功能，攻击者C2服务器地址为：http://139.60.163.206:5000。

投毒编号：XMIRROR-MAL45-28F3B0B1

项目主页：

https://www.npmjs.com/package/epxreso

投毒版本：5.1.3 ~ 5.3.4

发布日期：2025-08-26

总下载量：87次

修复方案

在项目目录下使用 npm list epxreso  查询是否已安装该组件，或使用 npm list -g epxreso  查询是否全局安装该投毒版本组件，如果已安装请立即使用 npm uninstall  epxreso  或 npm uninstall -g epxreso  进行卸载。此外，也可使用悬镜安全开源工具 OpenSCA-cli进行扫描检测。

IOC信息：