CVE 繁中資安情報網

最新 CVE 資安情報

共 26 筆

CVE-2026-16884 IBM API Connect XML External Entity（XXE）注入導致敏感資訊洩漏

對象資安IT

成因
處理 XML 時未妥善限制外部實體的解析，形成 XXE 注入（CWE-611）。
影響
遠端攻擊者可能取得敏感資訊，並對完整性與可用性造成低度影響。
條件
依 CVSS 向量為網路可達、免權限、免互動；具體端點與是否須驗證官方未說明。

修補：升級至 12.1.1.3 以上

CVE-2026-4408 Samba check password script 未逸出使用者名稱導致未驗證 RCE

對象資安IT

成因
Samba 把用戶端使用者名稱代入 check password script 的 %u，未做 shell 逸出（CWE-78）。
影響
未驗證攻擊者可以 samba-dcerpcd 系統服務權限執行任意指令，該服務常以 root 執行。
條件
須為檔案伺服器或 classic DC、腳本含 %u，且 samba-dcerpcd 以系統服務啟動。

修補：依版本分支升級（詳見內頁）

CVE-2025-63532 Shridharshukl Blood Bank Management System 取消請求 SQL Injection

對象資安

成因
取消血液請求腳本將使用者可控輸入直接拼入 SQL DELETE，未使用參數化查詢。
影響
成功利用可竄改或清空血液請求等紀錄，並可能進一步讀寫其他資料表。
條件
需能存取取消請求功能並送出識別參數；官方 CVSS 標示需低權限已登入。

已有公開 PoC修補：尚無修補版本

CVE-2022-4924 Google Chrome 桌面版 WebRTC Use After Free 沙箱逃逸漏洞

對象一般使用者資安IT

成因
Chrome WebRTC 元件存在 Use After Free（CWE-416）記憶體管理缺陷。
影響
已攻陷 renderer 的攻擊者可能逃出瀏覽器沙箱，影響瀏覽器外的系統。
條件
受害者使用 97.0.4692.71 之前的 Chrome 並載入惡意頁面，且攻擊者已取得 renderer 執行權。

修補：升級至 97.0.4692.71 以上