2025上半年最需要关注的80+高危漏洞！
微步情报局整理了2025年的80多个高危漏洞，涵盖应用系统、中间件等关键对象；99%为RCE；提供检测防护服务，并强调了老漏洞的风险。 2025-3-7 00:29:0 Author: mp.weixin.qq.com(查看原文) 阅读量:412 收藏

当2025的阳光爬上机房的玻璃窗，攻击者的漏洞同样追着光登场。

微步情报局从漏洞活跃程度、利用难易度、影响面、实网攻击行为情况等多个维度，梳理出2025年80+最需要各位师傅关注的高危漏洞，涵盖应用系统、中间件、数据库、操作系统，大模型、安全产品等关键对象，99%都是RCE（绝对高危），且均提供完整分析报告，强烈建议对照自查。

文中提及所有漏洞，除原理上流量设备无法检测的漏洞外，微步威胁感知平台TDP、威胁防御系统OneSIG均支持检测/防护，微步漏洞情报订阅服务也可提供专业深度分析报告（含漏洞复现、漏洞成因分析、自查方案、攻击排查方法、临时缓解措施等）。此外，微步漏洞利用情报，也可清晰掌握国内外产品漏洞在野漏洞利用情况，可扫描下方二维码或拨打电话联系我们。

扫码在线沟通
↓↓↓
Image
Image
点此电话咨询
应用系统——OA
  • 某微多个SQL注入漏洞（XVE-2024-28110、XVE-2024-28107
  • 某微远程命令执行漏洞（XVE-2024-0887）
  • 某微文件上传漏洞（XVE-2024-28106）
  • 某微远程代码执行漏洞（XVE-2024-20913）
  • 某微远程代码执行（XVE-2024-3062）
  • 某远OA文件上传漏洞（XVE-2024-8166）

  • 某凌远程代码执行漏洞（XVE-2023-18344）

应用系统——ERP
  • 某友NC反序列化漏洞（XVE-2024-18302）
  • 某友NC Cloud 命令注入漏洞（XVE-2024-26416）
  • 某潮企业管理软件远程代码执行漏洞（XVE-2024-18474）
  • 某蝶远程命令执行漏洞（XVE-2024-27274）
  • 某联达企业项目管理系统远程代码执行漏洞（XVE-2024-18236）
应用系统——安防系统
  • 某康威视综合安防管理平台 clusters接口 任意文件上传漏洞（XVE-2024-19325）
  • 某华智慧园区综合管理平台多个SQL注入漏洞（XVE-2024-37667、XVE-2024-34315）
  • 某华智慧园区综合管理平台任意文件上传漏洞（XVE-2024-13357）
应用系统——文档系统、报表系统
  • 某通电子文档安全管理系统多个SQL注入漏洞（XVE-2024-20927、XVE-2024-15987、XVE-2024-19611、XVE-2024-31523、XVE-2024-20044）
  • 某软Sqlite注入导致远程代码执行漏洞（XVE-2024-18078）
  • 某软报表任意文件写入漏洞（XVE-2024-18265）
    某木报表权限绕过漏洞（XVE-2024-19267）
应用系统——供应链管理软件

某云SRM云平台表达式注入漏洞（XVE-2024-18301）

应用系统——特定行业软件
  • 某洪BI远程代码执行漏洞（XVE-2025-0235）
  • 某锁电子签章平台远程代码执行漏洞（XVE-2024-18394）
  • 某管家任意文件上传漏洞（XVE-2024-19042）
  • 某CA电子印章签署系统 远程代码执行漏洞（XVE-2024-18390）
中间件
  • Oracle WebLogic 远程代码执行漏洞（XVE-2024-4789）
  • 某兰德BES中间件远程代码执行漏洞（XVE-2024-19899）
  • 某兰德BES中间件远程代码执行漏洞（XVE-2024-28179）
  • Apache Solr 身份认证绕过漏洞（XVE-2024-29630）
  • Apache Dubbo 反序列化远程代码执行漏洞（XVE-2023-4535）
数据库

某仓数据库管理系统远程代码执行漏洞（XVE-2024-26741）

操作系统/客户端
  • Windows TCP/IP 远程执行代码漏洞（XVE-2024-20159）
  • Windows Server RDL服务 远程代码执行漏洞（XVE-2024-16782）
  • Windows 轻量级目录访问协议 (LDAP) 拒绝服务漏洞（XVE-2024-35677）
  • Microsoft Outlook 远程代码执行漏洞（XVE-2024-2628）
  • 7-zip 远程代码执行漏洞（XVE-2024-33875）
安全产品
  • 某鹰安全终端安全系统任意用户添加漏洞（XVE-2025-6667）
  • 某鹰安全终端安全系统远程代码执行漏洞（XVE-2024-12801）
  • 某服运维安全管理系统任意文件上传漏洞（XVE-2025-6485）
  • 某服运维安全管理系统远程命令执行漏洞（XVE-2024-29885）
  • 某软零信任访问控制系统 jwt token泄露漏洞（XVE-2024-19620）
  • 某软安全数据交换系统 SQL注入漏洞（XVE-2024-18077）
  • 某辰天玥网络安全审计系统 SQL注入漏洞（XVE-2023-5892）
  • 某3C云桌面远程命令执行漏洞（XVE-2024-8180）
  • 某3C SecCenter SMP 远程代码执行漏洞（XVE-2024-28167）
  • 某3C SecCenter SMP 文件上传漏洞（XVE-2024-5470）
  • 某3C 安全发现与运营管理平台任意用户密码修改漏洞（XVE-2024-35855）
边界设备
  • 某御VPN 任意文件下载漏洞（XVE-2024-20791）
  • 某3C路由器信息泄漏漏洞（XVE-2024-8886）
大模型
  • ollma未授权访问漏洞（XVE-2025-6595）
  • ollama远程代码执行漏洞（XVE-2024-12971）
其他需重点关注的组件"老"漏洞
  • Apache Log4j 远程命令执行漏洞（XVE-2021-40836）
  • Apache Flink 未授权访问漏洞（XVE-2022-15554）
  • Apache ActiveMQ 远程命令执行漏洞（XVE-2023-6852）
  • Docker registry API 未授权访问漏洞（XVE-2021-40662）
  • Nacos 认证绕过漏洞（XVE-2021-16851）
  • Nacos 远程代码执行漏洞（XVE-2023-35021）
  • Weblogic JNDI 注入远程代码执行漏洞（XVE-2023-2153）
  • Atlassian Confluence 远程代码执行漏洞（XVE-2023-2477）
  • Redis 存在未授权访问（XVE-2022-3556）
  • Jenkins未授权访问漏洞致命令执行（XVE-2021-40704）
  • GitLab 命令注入漏洞（XVE-2022-20257）
  • Elasticsearch未授权访问漏洞（XVE-2022-2211）
- END -

  //  

微步漏洞情报订阅服务

微步提供漏洞情报订阅服务，精准、高效助力企业漏洞运营：

  • 提供高价值漏洞情报，具备及时、准确、全面和可操作性，帮助企业高效应对漏洞应急与日常运营难题；

  • 可实现对高威胁漏洞提前掌握，以最快的效率解决信息差问题，缩短漏洞运营MTTR；

  • 提供漏洞完整的技术细节，更贴近用户漏洞处置的落地；

  • 将漏洞与威胁事件库、APT组织和黑产团伙攻击大数据、网络空间测绘等结合，对漏洞的实际风险进行持续动态更新。
扫码在线沟通
↓↓↓
Image
Image
点此电话咨询

X漏洞奖励计划

“X漏洞奖励计划”是微步X情报社区推出的一款针对未公开漏洞的奖励计划，我们鼓励白帽子提交挖掘到的0day漏洞，并给予白帽子可观的奖励。我们期望通过该计划与白帽子共同努力，提升0day防御能力，守护数字世界安全。

活动详情：https://x.threatbook.com/v5/vulReward


文章来源: https://mp.weixin.qq.com/s?__biz=Mzg5MTc3ODY4Mw==&mid=2247507726&idx=1&sn=87cb8cf899d518b4a7c07925db84de62&chksm=cfcabc1af8bd350c85607f26c312cc39b87c9a3d338bb63e6a33c229f56b8eedeaabb6b2177a&scene=58&subscene=0#rd
如有侵权请联系:admin#unsafe.sh