2025上半年最需要关注的80+高危漏洞！

原创 微步情报局 微步在线研究响应中心 2025-03-07 08:29

当2025的阳光爬上机房的玻璃窗，攻击者的漏洞同样追着光登场。

微步情报局从
漏洞活跃程度、利用难易度、影响面、实网攻击行为情况
等多个维度，梳理出2025年
80+最需要各位师傅关注的高危漏洞
，涵盖
应用系统、中间件、数据库、操作系统，大模型、安全产品
等关键对象，99%都是RCE（绝对高危），且均提供完整分析报告，强烈建议对照自查。

文中提及所有漏洞，除原理上流量设备无法检测的漏洞外，
微步威胁感知平台TDP、威胁防御系统OneSIG均支持检测/防护，微步漏洞情报订阅服务
也可提供专业深度分析报告（含漏洞复现、漏洞成因分析、自查方案、攻击排查方法、临时缓解措施等）。此外，
微步漏洞利用情报
，也可清晰掌握国内外产品漏洞在野漏洞利用情况，可扫描下方二维码或拨打电话联系我们。

扫码在线沟通

↓
↓↓

点此电话咨询

应用系统——OA

• 某微多个SQL注入漏洞（XVE-2024-28110、XVE-2024-28107

• 某微远程命令执行漏洞（XVE-2024-0887）

• 某微文件上传漏洞（XVE-2024-28106）

• 某微远程代码执行漏洞（XVE-2024-20913）

• 某微远程代码执行（XVE-2024-3062）

• 某远OA文件上传漏洞（XVE-2024-8166）

• 某凌远程代码执行漏洞（XVE-2023-18344）

应用系统——ERP

• 某友NC反序列化漏洞（XVE-2024-18302）

• 某友NC Cloud 命令注入漏洞（XVE-2024-26416）

• 某潮企业管理软件远程代码执行漏洞（XVE-2024-18474）

• 某蝶远程命令执行漏洞（XVE-2024-27274）

• 某联达企业项目管理系统远程代码执行漏洞（XVE-2024-18236）

应用系统——安防系统

• 某康威视综合安防管理平台 clusters接口 任意文件上传漏洞（XVE-2024-19325）

• 某华智慧园区综合管理平台多个SQL注入漏洞（XVE-2024-37667、XVE-2024-34315）

• 某华智慧园区综合管理平台任意文件上传漏洞（XVE-2024-13357）

应用系统——文档系统、报表系统

• 某通电子文档安全管理系统多个SQL注入漏洞（XVE-2024-20927、XVE-2024-15987、XVE-2024-19611、XVE-2024-31523、XVE-2024-20044）

• 某软Sqlite注入导致远程代码执行漏洞（XVE-2024-18078）

• 某软报表任意文件写入漏洞（XVE-2024-18265）

某木报表权限绕过漏洞（XVE-2024-19267）

应用系统——供应链管理软件

某云SRM云平台表达式注入漏洞（XVE-2024-18301）

应用系统——特定行业软件

• 某洪BI远程代码执行漏洞（XVE-2025-0235）

• 某锁电子签章平台远程代码执行漏洞（XVE-2024-18394）

• 某管家任意文件上传漏洞（XVE-2024-19042）

• 某CA电子印章签署系统 远程代码执行漏洞（XVE-2024-18390）

中间件

• Oracle WebLogic 远程代码执行漏洞（XVE-2024-4789）

• 某兰德BES中间件远程代码执行漏洞（XVE-2024-19899）

• 某兰德BES中间件远程代码执行漏洞（XVE-2024-28179）

• Apache Solr 身份认证绕过漏洞（XVE-2024-29630）

• Apache Dubbo 反序列化远程代码执行漏洞（XVE-2023-4535）

数据库

某仓数据库管理系统远程代码执行漏洞（XVE-2024-26741）

操作系统/客户端

• Windows TCP/IP 远程执行代码漏洞（XVE-2024-20159）

• Windows Server RDL服务 远程代码执行漏洞（XVE-2024-16782）

• Windows 轻量级目录访问协议 (LDAP) 拒绝服务漏洞（XVE-2024-35677）

• Microsoft Outlook 远程代码执行漏洞（XVE-2024-2628）

• 7-zip 远程代码执行漏洞（XVE-2024-33875）

安全产品

• 某鹰安全终端安全系统任意用户添加漏洞（XVE-2025-6667）

• 某鹰安全终端安全系统远程代码执行漏洞（XVE-2024-12801）

• 某服运维安全管理系统任意文件上传漏洞（XVE-2025-6485）

• 某服运维安全管理系统远程命令执行漏洞（XVE-2024-29885）

• 某软零信任访问控制系统 jwt token泄露漏洞（XVE-2024-19620）

• 某软安全数据交换系统 SQL注入漏洞（XVE-2024-18077）

• 某辰天玥网络安全审计系统 SQL注入漏洞（XVE-2023-5892）

• 某3C云桌面远程命令执行漏洞（XVE-2024-8180）

• 某3C SecCenter SMP 远程代码执行漏洞（XVE-2024-28167）

• 某3C SecCenter SMP 文件上传漏洞（XVE-2024-5470）

• 某3C 安全发现与运营管理平台任意用户密码修改漏洞（XVE-2024-35855）

边界设备

• 某御VPN 任意文件下载漏洞（XVE-2024-20791）

• 某3C路由器信息泄漏漏洞（XVE-2024-8886）

大模型

• ollma未授权访问漏洞（XVE-2025-6595）

• ollama远程代码执行漏洞（XVE-2024-12971）

其他需重点关注的组件”老”漏洞

• Apache Log4j 远程命令执行漏洞（XVE-2021-40836）

• Apache Flink 未授权访问漏洞（XVE-2022-15554）

• Apache ActiveMQ 远程命令执行漏洞（XVE-2023-6852）

• Docker registry API 未授权访问漏洞（XVE-2021-40662）

• Nacos 认证绕过漏洞（XVE-2021-16851）

• Nacos 远程代码执行漏洞（XVE-2023-35021）

• Weblogic JNDI 注入远程代码执行漏洞（XVE-2023-2153）

• Atlassian Confluence 远程代码执行漏洞（XVE-2023-2477）

• Redis 存在未授权访问（XVE-2022-3556）

• Jenkins未授权访问漏洞致命令执行（XVE-2021-40704）

• GitLab 命令注入漏洞（XVE-2022-20257）

• Elasticsearch未授权访问漏洞（XVE-2022-2211）

• END –

//  

微步漏洞情报订阅服务

微步提供漏洞情报订阅服务，精准、高效助力企业漏洞运营：
– 提供高价值漏洞情报，具备及时、准确、全面和可操作性，帮助企业高效应对漏洞应急与日常运营难题；

• 可实现对高威胁漏洞提前掌握，以最快的效率解决信息差问题，缩短漏洞运营MTTR；

• 提供漏洞完整的技术细节，更贴近用户漏洞处置的落地；

• 将漏洞与威胁事件库、APT组织和黑产团伙攻击大数据、网络空间测绘等结合，对漏洞的实际风险进行持续动态更新。

扫码在线沟通

↓
↓↓

点此电话咨询

X漏洞奖励计划

“X漏洞奖励计划”是微步X情报社区推出的一款
针对未公开
漏洞的奖励计划，我们鼓励白帽子提交挖掘到的0day漏洞，并给予白帽子可观的奖励。我们期望通过该计划与白帽子共同努力，提升0day防御能力，守护数字世界安全。

活动详情：
https://x.threatbook.com/v5/vulReward