2025 Q1季度你需要关注的高危漏洞合集！

发布于 作者:

2025 Q1季度你需要关注的高危漏洞合集！

奇安信 CERT 2025-03-13 15:25

2025年第一季度，数字化进程的加速与新兴技术的普及，为企业带来效率提升的同时，也催生了更为复杂的安全威胁。从传统OA系统、办公软件到新兴的大模型基础设施，高危漏洞的爆发呈现
多维度、高破坏性
的特征：远程代码执行漏洞（RCE）可瞬间接管核心业务系统，SQL注入与身份认证绕过漏洞成为数据泄露的“隐形通道”，而安全设备自身的漏洞更暴露出“矛与盾”的悖论。

Q1季度漏洞态势凸显两大趋势：

一、“历史顽疾”未愈
，SQL注入、文件上传等传统漏洞仍在国产OA、中间件中高频出现，折射出开发阶段安全规范的缺失；

二、“新兴威胁”崛起
，大模型服务（如Ollama）、物联网管理平台的漏洞利用门槛降低，攻击者可快速渗透AI基础设施与物理安防系统，威胁从虚拟空间蔓延至现实世界。

本文梳理2025年Q1高危漏洞，通过
分类剖析漏洞特性、总结攻击场景，并为企业提供
多层级防御方案。无论是规避“0day漏洞”的突发风险，还是加固长期暴露的薄弱环节，均可从本文中找到关键行动指引。在攻防不对称的当下，唯有
前置防护、动态响应，方能在数字化浪潮中筑牢安全防线。

奇安信CERT贴心整理了以下高危漏洞合集，仅需复制粘贴漏洞编号，进入奇安信威胁分析平台ALPHA便可获取漏洞详情！

（https://ti.qianxin.com/vulnerability/list）

国产OA

  • 某微E-Office10远程代码执行漏洞(QVD-2024-11354)

  • 某微E-cology9 WorkflowServiceXml SQL注入漏洞(QVD-2024-26136)

  • 某远OA ucpcLogin接口身份鉴权绕过漏洞(QVD-2024-27512)

  • 某远OA fileUpload.do 前台文件上传绕过漏洞(QVD-2024-27266)

  • 某凌EIS智慧协同平台 fi_message_receiver.aspx SQL注入漏洞(CVE-2025-22214)

  • 某凌OA sysUiComponent 任意文件上传漏洞(QVD-2024-11115) 

  • 某友NC6.5 rmwebImage 接口SQL注入漏洞(QVD-2025-10301) 

  • 某友U8Cloud pub.sql.query SQL注入漏洞(QVD-2025-1998)

  • 某WMS commonController.do 任意文件上传漏洞(CVE-2024-57761)

国产OA漏洞特征：
– 代码逻辑缺陷：
多数漏洞源于未对用户输入过滤（如SQL注入）、接口鉴权缺失。

  • 高危功能滥用：
    文件上传接口未校验文件类型和路径，导致恶意文件落地。

  • 历史遗留问题：
    部分漏洞针对老旧版本系统，但用户未及时升级。

Web服务与中间件

  • 某通T+ FileUploadHandler任意文件上传漏洞(QVD-2024-36760) 

  • 某应用虚拟化系统 AdminController.class.php SQL注入漏洞
    (QVD-2024-17003) 

  • 某维 GNRemote.dll 远程命令执行漏洞(QVD-2024-27332)

  • Fortinet FortiManager 身份认证绕过漏洞(CVE-2024-47575) 

  • Palo Alto Networks PAN-OS 身份认证绕过漏洞(CVE-2024-0012) 

  • GeoServer远程代码执行漏洞(CVE-2024-36401) 

  • Apache Kafka UI 远程代码执行漏洞(CVE-2024-32030)

  • EOVA JDBC反序列化漏洞(QVD-2025-10315) 

  • Nacos Derby 远程命令执行漏洞(QVD-2024-26473)

  • CyberPanel upgrademysqlstatus 远程命令执行漏洞
    (QVD-2024-44346)

  • 某管家 uploadFileByChunks.htm 任意文件上传漏洞
    (QVD-2024-35232) 

  • 某点 UploadImage.do 任意文件上传漏洞(QVD-2024-35233) 

  • Apache Solr 身份认证绕过漏洞(CVE-2024-45216)

  • Apache Struts 文件上传漏洞(CVE-2024-53677)

  • Apache Tomcat 远程代码执行漏洞(CVE-2024-56337)

  • Gradio 任意文件读取漏洞(CVE-2024-1561)

  • Rejetto HTTP File Server 模板注入漏洞(CVE-2024-23692)

WEB服务与中间件漏洞特征：
– 配置管理薄弱：
默认弱口令、未启用安全模块。

  • 反序列化漏洞频发：
    如EOVA JDBC反序列化可导致RCE。

  • 横向移动风险：
    攻击者利用中间件作为跳板渗透内网。

办公软件与协同平台

  • 某潮海岳 HCM Cloud download 任意文件读取漏洞(QVD-2024-45979)

  • 某潮GS企业管理软件 biobjectwebservice.asmx 命令执行漏洞
    (QVD-2024-34321) 

  • 某联达 GEPS 企业项目管理系统远程代码执行漏洞(QVD-2024-27603) 

  • 某蝶EAS存在appUtil.jsp命令执行漏洞(QVD-2024-46496)

  • 某软FineReport ReportServer SQL注入漏洞(QVD-2024-27261) 

  • 某软FineReport FineVis 插件任意文件写入漏洞(QVD-2024-35163)

  • 某锁电子签章平台 ukeysign 远程命令执行漏洞(QVD-2024-35144)

  • 某电子文档安全管理系统 ClientSortLog.jsp SQL注入漏洞(CVE-2025-1841)

  • 某电子文档安全管理系统 updateorg.jsp SQL注入漏洞(CVE-2025-1840)

  • 某道项目管理系统身份认证绕过漏洞(QVD-2024-15263)

  • 某木报表权限绕过漏洞(QVD-2024-35276) 

  • 某当 CRM getMyAmbassador SQL注入漏洞(QVD-2024-51803)

办公软件与协同平台漏洞特征：
– 数据暴露风险高：
如download接口未限制路径遍历，导致敏感文件泄露。****

  • 插件生态隐患：
    第三方插件成为攻击入口。****

  • 供应链攻击可能性：
    电子签章平台被控将影响上下游业务。

安全软件与安防系统

  • 某3C智能管理中心存在文件上传漏洞(QVD-2025-10172)

  • 某UIS超融合管理平台远程代码执行漏洞(QVD-2024-38052) 

  • 某3C SecCenter SMP安全管理平台远程代码执行漏洞
    (QVD-2024-48877) 

  • JumpServer多个高危漏洞(CVE-2024-40628、CVE-2024-40629)

  • 某安防管理平台存在命令执行漏洞(QVD-2024-44126)

  • 某安防管理系统 uploadAllPackage任意文件上传漏洞
    (QVD-2024-35247) 

  • 某智能物联综合管理平台GetClassValue.jsp远程代码执行漏洞
    (QVD-2025-1518)

安全软件与安防系统漏洞特征：
– 物理安全威胁：
安防系统漏洞可导致摄像头、门禁失控。****

  • 权限滥用风险：
    如安全管理平台被控后，攻击者可操作全网策略。****

大模型与新兴技术

  • Ollama 远程代码执行漏洞(CVE-2024-37032)

  • Ollama 未授权访问漏洞(QVD-2025-9606)

大模型与新兴技术漏洞特征：
– 资源滥用：
未授权访问GPU集群可能被用于挖矿或模型投毒。****

  • 数据泄露：
    模型训练数据可能通过漏洞被窃取。

操作系统与数据库

  • 微软RDL服务远程代码执行漏洞(CVE-2024-38077)

  • Windows TCP/IP IPv6远程拒绝服务/代码执行漏洞(CVE-2024-38063)

  • 某数据库远程代码执行漏洞(QVD-2024-38584) 

  • PHP CGI Windows平台远程代码执行漏洞(CVE-2024-4577)

操作系统与数据库漏洞特征：
– 底层协议漏洞：
利用IPv6栈漏洞可导致全网级瘫痪。****

  • 数据库提权：
    可能引发核心业务数据泄露。****

漏洞处置建议

1. 通用防护措施

补丁管理：

建立自动化漏洞扫描与补丁更新机制，优先修复远程代码执行和认证绕过漏洞。

输入过滤与最小权限：

对用户输入实施白名单校验，限制文件上传类型；数据库账户使用低权限角色运行。

网络隔离：

将OA、安防系统部署于独立VLAN，限制中间件（如Nacos、Kafka）的公网暴露。

2. 分场景加固

国产OA与办公软件：

禁用不必要的接口，启用WAF拦截SQL注入和路径遍历攻击。

中间件：

关闭组件的默认调试模式，配置强认证（如Tomcat Manager双重验证）。

安全设备：

定期审计安全产品的日志与配置，禁止使用默认密码。

3. 应急响应准备

日志监控：

集中收集系统日志，设置告警规则（如异常文件上传、高频SQL错误）。

定期排查：

针对所属资产的高危漏洞定期进行排查。

2025年Q1季度高危漏洞表明，企业需构建“漏洞生命周期管理”体系，从开发、部署到运维全链路落地安全实践，重点关注
边界防护
、
权限收敛
与
供应链管控
，避免因单点漏洞引发全网沦陷。

奇安信ALPHA威胁分析平台已支持漏洞情报订阅服务：

图片

图片

图片

奇安信 CERT

致力于
第一时间为企业级用户提供权威漏洞情报和有效
解决方案。