本周漏洞态势研判情况
本周信息安全漏洞威胁整体评价级别为中。
国家信息安全漏洞共享平台（以下简称CNVD）本周共收集、整理信息安全漏洞821个，其中高危漏洞399个、中危漏洞371个、低危漏洞51个。漏洞平均分值为6.39。本周收录的漏洞中，涉及0day漏洞620个（占76%），其中互联网上出现“D-Link DAP-1320栈缓冲区溢出漏洞（CNVD-2025-13521、CNVD-2025-13520）”等零日代码攻击漏洞。本周CNVD接到的涉及党政机关和企事业单位的漏洞总数8259个，与上周（8389个）环比减少2%。
本周漏洞事件处置情况
本周，CNVD向银行、保险、能源等重要行业单位通报漏洞事件5起，向基础电信企业通报漏洞事件2起，协调CNCERT各分中心验证和处置涉及地方重要部门漏洞事件425起，协调教育行业应急组织验证和处置高校科研院所系统漏洞事件75起，向国家上级信息安全协调机构上报涉及部委门户、子站或直属单位信息系统漏洞事件11起。
此外，CNVD通过已建立的联系机制或涉事单位公开联系渠道向以下单位通报了其信息系统或软硬件产品存在的漏洞，具体处置单位情况如下所示：
佐藤自动识别系统国际贸易（上海）有限公司、珠海金山办公软件有限公司、珠海环界云计算有限公司、众阳健康科技集团有限公司、中興保全科技股份有限公司、中兴通讯股份有限公司、正方软件股份有限公司、浙江诺诺网络科技有限公司、浙江甲骨文超级码科技股份有限公司、浙江好络维医疗技术有限公司、友讯电子设备（上海）有限公司、用友网络科技股份有限公司、兄弟（中国）商业有限公司、信呼、新天科技股份有限公司、夏普科技（上海）有限公司、西安炎燚信息科技有限公司、武汉天地伟业科技有限公司、万洲电气股份有限公司、统信软件技术有限公司、天闻数媒科技（北京）有限公司、天津环球磁卡集团有限公司、腾讯安全应急响应中心、索尼（中国）有限公司、神州数码控股有限公司、深圳市云盟智慧科技有限公司、深圳市鹏为软件股份有限公司、深圳市明源云科技有限公司、深圳市蓝凌软件股份有限公司、深圳市科脉技术股份有限公司、深圳市吉祥腾达科技有限公司、深圳市富士智能股份有限公司、深圳市大疆创新科技有限公司、深圳市必联电子有限公司、深圳锐取信息技术股份有限公司、深圳建广数字科技有限公司、深圳国威电子有限公司、深圳达实智能股份有限公司、深圳达实物联网技术有限公司、深圳彼度科技有限公司、上海真兰仪表科技股份有限公司、上海肯耐珂萨人力资源科技股份有限公司、上海亘岩网络科技有限公司、上海布雷德科技有限公司、山石网科通信技术股份有限公司、厦门昕桐科技有限公司、厦门四信通信科技有限公司、厦门科汛软件有限公司、厦门科拓通讯技术股份有限公司、三星（中国）投资有限公司、青岛浩海网络科技股份有限公司、青岛海信网络科技股份有限公司、摩莎科技（上海）有限公司、联奕科技股份有限公司、力合科技（湖南）股份有限公司、理光（中国）投资有限公司、蓝卓数字科技有限公司、柯尼卡美能达集团、京瓷办公信息系统（中国）有限公司、江苏群杰科技有限公司、佳能（中国）有限公司、济宁云课网络科技有限公司、惠普贸易（上海）有限公司、合肥六出网络科技有限公司、杭州未来速度科技有限公司、杭州网易雷火科技有限公司、杭州图南电子股份有限公司、杭州瀚洋科技有限公司、杭州观远数据有限公司、汉王科技股份有限公司、贵州黔狐科技股份有限公司、广州速盈信息科技有限公司、广州思迈特软件有限公司、广州市天翎网络科技有限公司、广州市和丰自动化科技有限公司、广州极电通信技术有限公司、广东保伦电子股份有限公司、富士胶片商业创新（中国）有限公司、福建星网锐捷通讯股份有限公司、福建博思软件股份有限公司、东芝（中国）有限公司、成都易达数安科技有限公司、成都菲莱克斯科技有限公司、成都飞鱼星科技股份有限公司、畅捷通信息技术股份有限公司、北京中知智慧科技有限公司、北京中控智慧科技发展有限公司、北京中科网威信息技术有限公司、北京中创视讯科技有限公司、北京智信资管云教育科技有限公司、北京星网锐捷网络技术有限公司、北京网御星云信息技术有限公司、北京神州视翰科技有限公司、北京魔方恒久软件有限公司、北京美特软件技术有限公司、北京隆道网络科技有限公司、北京凯特伟业科技有限公司、北京九思协同软件有限公司、北京金和网络股份有限公司、北京宏景世纪软件股份有限公司、北京高知图新教育科技有限公司、北京笛卡尔盾科技在限公司、北京博乐虎科技有限公司、百度安全应急响应中心、安徽青柿信息科技有限公司、艾威梯科技（北京）有限公司和The Apache Software Foundation 。
本周漏洞报送情况统计
本周报送情况如表1所示。其中，新华三技术有限公司、深信服科技股份有限公司、北京神州绿盟科技有限公司、阿里云计算有限公司、北京数字观星科技有限公司等单位报送公开收集的漏洞数量较多。中孚安全技术有限公司、苏州棱镜七彩信息科技有限公司、杭州海康威视数字技术股份有限公司、北京天下信安技术有限公司、江苏云天网络安全技术有限公司、北京有略安全技术有限公司、贵州多彩网安科技有限公司、中资网络信息安全科技有限公司、北京山石网科信息技术有限公司、亚信科技（成都）有限公司、平安银河实验室、蚂蚁金服（AFS）、中国电信股份有限公司研究院、中电福富信息科技有限公司、人保信息科技有限公司、北京禹宏信安科技有限公司、海南神州希望网络有限公司、上海谋乐网络科技有限公司、中信证券网络与信息安全组、江苏锋刃信息科技有限公司、北京网御星云信息技术有限公司、深圳昂楷科技有限公司、湖南红点安全信息技术有限公司、江苏尊安科技有限公司、盐城盐数网安科技有限公司、内蒙古旌云科技有限公司及其他个人白帽子向CNVD提交了8259个以事件型漏洞为主的原创漏洞，其中包括奇安信网神（补天平台）、斗象科技（漏洞盒子）、三六零数字安全科技集团有限公司和上海交大向CNVD共享的白帽子报送7352条原创漏洞信息。
表1 漏洞报送情况统计表
报送单位或个人 |
漏洞报送数量 |
原创漏洞数量 |
奇安信网神（补天平台） |
5794 |
5794 |
新华三技术有限公司 |
1472 |
0 |
斗象科技（漏洞盒子） |
652 |
652 |
深信服科技股份有限公司 |
640 |
6 |
三六零数字安全科技集团有限公司 |
552 |
552 |
北京神州绿盟科技有限公司 |
355 |
0 |
上海交大 |
354 |
354 |
阿里云计算有限公司 |
340 |
14 |
北京数字观星科技有限公司 |
207 |
0 |
安天科技集团股份有限公司 |
89 |
0 |
北京启明星辰信息安全技术有限公司 |
62 |
7 |
北京长亭科技有限公司 |
41 |
1 |
西安四叶草信息技术有限公司 |
18 |
18 |
北京天融信网络安全技术有限公司 |
15 |
5 |
杭州迪普科技股份有限公司 |
9 |
0 |
快页信息技术有限公司 |
8 |
8 |
杭州安恒信息技术股份有限公司 |
3 |
3 |
北京升鑫网络科技有限公司（青藤云安全） |
2 |
2 |
北京智游网安科技有限公司 |
1 |
1 |
中孚安全技术有限公司 |
147 |
147 |
苏州棱镜七彩信息科技有限公司 |
12 |
12 |
杭州海康威视数字技术股份有限公司 |
10 |
10 |
北京天下信安技术有限公司 |
9 |
9 |
江苏云天网络安全技术有限公司 |
7 |
7 |
北京有略安全技术有限公司 |
6 |
6 |
贵州多彩网安科技有限公司 |
5 |
5 |
中资网络信息安全科技有限公司 |
4 |
4 |
北京山石网科信息技术有限公司 |
4 |
4 |
亚信科技（成都）有限公司 |
3 |
3 |
平安银河实验室 |
3 |
3 |
蚂蚁金服（AFS） |
3 |
3 |
中国电信股份有限公司研究院 |
3 |
3 |
中电福富信息科技有限公司 |
2 |
2 |
人保信息科技有限公司 |
2 |
2 |
北京禹宏信安科技有限公司 |
2 |
2 |
海南神州希望网络有限公司 |
2 |
2 |
上海谋乐网络科技有限公司 |
2 |
2 |
中信证券网络与信息安全组 |
1 |
1 |
江苏锋刃信息科技有限公司 |
1 |
1 |
北京网御星云信息技术有限公司 |
1 |
1 |
深圳昂楷科技有限公司 |
1 |
1 |
湖南红点安全信息技术有限公司 |
1 |
1 |
江苏尊安科技有限公司 |
1 |
1 |
盐城盐数网安科技有限公司 |
1 |
1 |
内蒙古旌云科技有限公司 |
1 |
1 |
CNCERT宁夏分中心 |
8 |
8 |
个人 |
600 |
600 |
报送总计 |
11456 |
8259 |
本周漏洞按类型和厂商统计
本周，CNVD收录了821个漏洞。WEB应用369个，网络设备（交换机、路由器等网络端设备）222个，应用程序136个，智能设备（物联网终端设备）79个，操作系统11个，安全产品3个，数据库1个。
表2 漏洞按影响类型统计表
漏洞影响对象类型 |
漏洞数量 |
WEB应用 |
369 |
网络设备（交换机、路由器等网络端设备） |
222 |
应用程序 |
136 |
智能设备（物联网终端设备） |
79 |
操作系统 |
11 |
安全产品 |
3 |
数据库 |
1 |
CNVD整理和发布的漏洞涉及TOTOLINK、Netgear、D-Link等多家厂商的产品，部分漏洞数量按厂商统计如表3所示。
表3 漏洞产品涉及厂商分布统计表
序号 |
厂商（产品） |
漏洞数量 |
所占比例 |
1 |
TOTOLINK |
38 |
4% |
2 |
Netgear |
32 |
4% |
3 |
D-Link |
31 |
4% |
4 |
惠普贸易（上海）有限公司 |
31 |
4% |
5 |
青岛海信网络科技股份有限公司 |
31 |
4% |
6 |
畅捷通信息技术股份有限公司 |
30 |
4% |
7 |
WordPress |
29 |
3% |
8 |
ABB |
26 |
3% |
9 |
JetBrains |
25 |
3% |
10 |
其他 |
548 |
67% |
本周行业漏洞收录情况
本周，CNVD收录了70个电信行业漏洞，5个移动互联网行业漏洞，31个工控行业漏洞（如下图所示）。其中，“D-Link DIR-665缓冲区溢出漏洞、Fuji Electric Smart Editor缓冲区溢出漏洞”等漏洞的综合评级为“高危”。相关厂商已经发布了漏洞的修补程序，请参照CNVD相关行业漏洞库链接。
电信行业漏洞链接：http://telecom.cnvd.org.cn/
移动互联网行业漏洞链接：http://mi.cnvd.org.cn/
工控系统行业漏洞链接：http://ics.cnvd.org.cn/
本周重要漏洞安全告警
本周，CNVD整理和发布以下重要安全漏洞信息。
1、Adobe产品安全漏洞
Adobe Acrobat Reader是美国奥多比（Adobe）公司的一款PDF查看器。该软件用于打印，签名和注释PDF。Adobe Substance 3D Sampler是Adobe公司推出的一款专业软件，旨在帮助用户轻松创建和迭代真实材质贴图。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞在系统上执行代码，或导致应用程序崩溃。
CNVD收录的相关漏洞包括：Adobe Acrobat Reader越界写入漏洞（CNVD-2025-13314）、Adobe Acrobat Reader内存错误引用漏洞（CNVD-2025-13317、CNVD-2025-13318、CNVD-2025-13319、CNVD-2025-13320、CNVD-2025-13321）、Adobe Substance3D Sampler越界写入漏洞（CNVD-2025-13322、CNVD-2025-13323）。上述漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。
参考链接：
https://www.cnvd.org.cn/flaw/show/CNVD-2025-13314
https://www.cnvd.org.cn/flaw/show/CNVD-2025-13317
https://www.cnvd.org.cn/flaw/show/CNVD-2025-13318
https://www.cnvd.org.cn/flaw/show/CNVD-2025-13319
https://www.cnvd.org.cn/flaw/show/CNVD-2025-13320
https://www.cnvd.org.cn/flaw/show/CNVD-2025-13321
https://www.cnvd.org.cn/flaw/show/CNVD-2025-13322
https://www.cnvd.org.cn/flaw/show/CNVD-2025-13323
2、ABB产品安全漏洞
ABB ASPECT-Enterprise是一款可扩展建筑能源管理和控制解决方案。ABB NEXUS Series是一种监控管理系统。ABB MATRIX Series是一款嵌入式物联网ASPECT控制引擎，旨在为中型到大型现场控制应用提供灵活的现场控制。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞获取敏感信息，导致PHP脚本注入等。
CNVD收录的相关漏洞包括：ABB多款产品信息泄露漏洞（CNVD-2025-13332、CNVD-2025-13425）、ABB多款产品代码问题漏洞（CNVD-2025-13598）、ABB多款产品路径遍历漏洞（CNVD-2025-13768、CNVD-2025-13774）、ABB多款产品SQL注入漏洞（CNVD-2025-13770、CNVD-2025-13331）、ABB多款产品权限提升漏洞。上述漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。
参考链接：
https://www.cnvd.org.cn/flaw/show/CNVD-2025-13332
https://www.cnvd.org.cn/flaw/show/CNVD-2025-13425
https://www.cnvd.org.cn/flaw/show/CNVD-2025-13598
https://www.cnvd.org.cn/flaw/show/CNVD-2025-13768
https://www.cnvd.org.cn/flaw/show/CNVD-2025-13770
https://www.cnvd.org.cn/flaw/show/CNVD-2025-13774
https://www.cnvd.org.cn/flaw/show/CNVD-2025-13773
https://www.cnvd.org.cn/flaw/show/CNVD-2025-13331
3、Microsoft产品安全漏洞
Microsoft Excel是美国微软（Microsoft）公司的一款Office套件中的电子表格处理软件。Microsoft Office是美国微软（Microsoft）公司的一款办公软件套件产品。该产品常用组件包括Word、Excel、Access、Powerpoint、FrontPage等。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞提升权限，在系统上执行任意代码。
CNVD收录的相关漏洞包括：Microsoft Excel代码执行漏洞（CNVD-2025-13265、CNVD-2025-13266）、Microsoft Office代码执行漏洞（CNVD-2025-13267、CNVD-2025-13269、CNVD-2025-13270、CNVD-2025-13271、CNVD-2025-13272）、Microsoft Office权限提升漏洞（CNVD-2025-13274）。上述漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。
参考链接：
https://www.cnvd.org.cn/flaw/show/CNVD-2025-13265
https://www.cnvd.org.cn/flaw/show/CNVD-2025-13266
https://www.cnvd.org.cn/flaw/show/CNVD-2025-13267
https://www.cnvd.org.cn/flaw/show/CNVD-2025-13269
https://www.cnvd.org.cn/flaw/show/CNVD-2025-13270
https://www.cnvd.org.cn/flaw/show/CNVD-2025-13271
https://www.cnvd.org.cn/flaw/show/CNVD-2025-13272
https://www.cnvd.org.cn/flaw/show/CNVD-2025-13274
4、JetBrains产品安全漏洞
JetBrains YouTrack是一款由JetBrains公司开发的项目管理工具，支持云托管和本地部署。JetBrains TeamCity是捷克JetBrains公司的一套分布式构建管理和持续集成工具。该工具提供持续单元测试、代码质量分析和构建问题分析报告等功能。本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞获取敏感信息，导致拒绝服务等。
CNVD收录的相关漏洞包括：JetBrains YouTrack日志信息泄露漏洞、JetBrains YouTrack访问控制不当漏洞、JetBrains YouTrack拒绝服务漏洞、JetBrains YouTrack信息泄露漏洞、JetBrains TeamCity Kubernetes信息泄露漏洞、JetBrains YouTrack访问控制错误漏洞、JetBrains TeamCity信息泄露漏洞（CNVD-2025-13585、CNVD-2025-13586）。其中，“JetBrains YouTrack信息泄露漏洞、JetBrains TeamCity信息泄露漏洞（CNVD-2025-13586）”漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。
参考链接：
https://www.cnvd.org.cn/flaw/show/CNVD-2025-13405
https://www.cnvd.org.cn/flaw/show/CNVD-2025-13410
https://www.cnvd.org.cn/flaw/show/CNVD-2025-13409
https://www.cnvd.org.cn/flaw/show/CNVD-2025-13408
https://www.cnvd.org.cn/flaw/show/CNVD-2025-13414
https://www.cnvd.org.cn/flaw/show/CNVD-2025-13544
https://www.cnvd.org.cn/flaw/show/CNVD-2025-13585
https://www.cnvd.org.cn/flaw/show/CNVD-2025-13586
5、D-Link DIR-619L堆栈缓冲区溢出漏洞
D-Link DIR-619L是中国友讯（D-Link）公司的一款无线路由器。本周，D-Link DIR-619L被披露存在堆栈缓冲区溢出漏洞，该漏洞是由于文件/goform/formSetWAN_Wizard51的函数formSetWAN_Wisard51中的边界检查不正确造成的。攻击者可利用该漏洞使缓冲区溢出，在系统上执行任意代码，或导致应用程序崩溃。目前，厂商尚未发布上述漏洞的修补程序。CNVD提醒广大用户随时关注厂商主页，以获取最新版本。
参考链接：https://www.cnvd.org.cn/flaw/show/CNVD-2025-14220
更多高危漏洞如表4所示，详细信息可根据CNVD编号，在CNVD官网进行查询。参考链接：http://www.cnvd.org.cn/flaw/list
表4 部分重要高危漏洞列表
CNVD编号 |
漏洞名称 |
综合评级 |
修复方式 |
CNVD-2025-13273 |
Microsoft Access代码执行漏洞（CNVD-2025-13273） |
高 |
厂商已发布了漏洞修复程序，请及时关注更新： https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-49142 |
CNVD-2025-13326 |
Adobe InDesign内存错误引用漏洞 |
高 |
用户可参考如下厂商提供的安全补丁以修复该漏洞： https://helpx.adobe.com/security/products/indesign/apsb25-53.html |
CNVD-2025-13343 |
Huawei HarmonyOS缓冲区溢出漏洞 |
高 |
目前厂商已发布升级程序修复该安全问题，详情见厂商官网： https://consumer.huawei.com/en/support/bulletin/2024/12/ |
CNVD-2025-13404 |
NETGEAR EX8000 action_wireless命令注入漏洞 |
高 |
目前厂商已发布升级程序修复该安全问题，详情见厂商官网： https://www.netgear.com/support/product/ex8000/ |
CNVD-2025-13412 |
NETGEAR Orbi 760 SOAP API验证绕过漏洞 |
高 |
目前厂商已发布升级程序修复该安全问题，详情见厂商官网： https://kb.netgear.com/000065734/Security-Advisory-for-Authentication-Bypass-on-the-RBR760-PSV-2023-0052 |
CNVD-2025-13534 |
Fuji Electric Tellus Lite V-Simulator越界写入漏洞 |
高 |
目前厂商已发布升级程序修复该安全问题，详情见厂商官网： https://felib.fujielectric.co.jp/en/M10009/M20034/document_detail/c27d5b69-68ef-4af5-90ee-b5dab118f71a |
CNVD-2025-13836 |
Tenda RX2 Pro安全绕过漏洞 |
高 |
厂商已发布了漏洞修复程序，请及时关注更新： https://www.tendacn.com/us/download/detail-5715.html |
CNVD-2025-14208 |
QNAP File Station 5代码问题漏洞 |
高 |
目前厂商已发布升级程序修复该安全问题，详情见厂商官网： https://www.qnap.com/en/security-advisory/qsa-25-16 |
CNVD-2025-13355 |
Huawei HarmonyOS权限问题漏洞 |
高 |
目前厂商已发布升级程序修复该安全问题，详情见厂商官网： https://consumer.huawei.com/en/support/bulletin/2024/3/ |
CNVD-2025-13536 |
Fuji Electric TELLUS/TELLUS Lite信息泄露漏洞 |
高 |
目前厂商已发布升级程序修复该安全问题，详情见厂商官网： https://monitouch.fujielectric.com/site/download-e/03tellus_inf/index.php |
小结：本周，Adobe产品被披露存在多个漏洞，攻击者可利用漏洞在系统上执行代码，或导致应用程序崩溃。此外，ABB、Microsoft、JetBrains等多款产品被披露存在多个漏洞，攻击者可利用漏洞获取敏感信息，提升权限，在系统上执行任意代码，导致拒绝服务等。另外，D-Link DIR-619L被披露存在堆栈缓冲区溢出漏洞，攻击者可利用该漏洞使缓冲区溢出，在系统上执行任意代码，或导致应用程序崩溃。建议相关用户随时关注上述厂商主页，及时获取修复补丁或解决方案。
吉公网安备 22017202000203号
