聚焦源代码安全，网罗国内外最新资讯！
这两个漏洞如下：
CVE-2025-32433（CVSS 评分10）：Erlang/OTP SSH服务器中存在一个关键函数缺少认证的漏洞，可导致攻击者在无需合法凭据的情况下执行任意李明玲，可能导致未认证的远程代码执行后果（已在OTP-27.3.3、OTP-26.2.5.11和OTP-25.3.2.20中修复）。
CVE-2024-42009（CVSS评分9.3）：RoundCube Webmail 中的跨站脚本 (XSS) 漏洞，可导致远程攻击者利用 program/actions/mail/show.php中的一个未清理问题，通过特殊构造的邮件消息窃取和发送受害者的邮件。（已在2024年8月的版本1.6.8和1.5.8中修复。）
目前尚不存在关于这两个漏洞被谁以及如何遭利用的详情。上个月，ESET公司披露称，与俄罗斯存在关联的威胁行动者 APT28 利用Roundcube、Horde、Mdaemon 和 Zimbra 中的多个XSS漏洞攻击位于东欧地区的政府实体和国防企业。目前尚不清楚CVE-2024-42009遭滥用是否与这起活动或其它活动有关。
Censys 公司的数据表明，共有340个被暴露的 Erlang 服务器，但值得注意的是并非所有的实例均易受该漏洞影响。CVE-2025-32433的公开披露曾立即招来相关 PoC的发布。
鉴于漏洞已遭活跃利用，联邦民用行政机构 (FCEB) 应在2025年6月30其前应用必要的修复方案。
此前不久，Patchstack 标记了WordPress 上PayU CommercePro 插件中的一个账户接管0day漏洞（CVE-2025-31022，CVSS评分9.8），它可导致攻击者在无需认证的情况下控制网站上的任何用户。如攻击者能够劫持管理员账户，则可能造成严重后果，导致他们接管站点并执行恶意操作。该漏洞影响3.8.5及之前版本。该插件的活跃安装量已超过5000次。
该漏洞与一个名为 “update_cart_data()” 的函数有关。该函数调用自名为 “/payu/v1/get-shipping-cost”的端点，它会检查所提供的邮件地址是否存在，如存在则会处理电商订单结账。但由于该端点检查的合法令牌与一个硬编码电子邮件地址 (commerce.pro@payu[.]in) 有关，并且存在另外一个REST API来为一个既定邮件 (“/payu/v1/generate-user-token”) 生成认证令牌，攻击者可利用该行为获得与 commerce.pro@payu[.]in 相关的令牌并向 “/payu/v1/get-shipping-cost”发送一个请求并劫持任何账号。
建议用户在漏洞补丁修复前，禁用并删除该插件。Patchstack表示，“有必要确保未认证的 REST API端点未获得过度许可并向用户提供更多访问权限。另外，不推荐将硬编码敏感的或动态的信息如电子邮件地址，用于代码库中的其它用例。
CISA提醒注意已遭利用的 Commvault 0day漏洞
CISA为CVE计划续期11个月，MITRE 成立CVE基金会防范
题图：Pixabay License
本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。
奇安信代码卫士 (codesafe)
国内首个专注于软件开发安全的产品线。
觉得不错，就点个 “在看” 或 "赞” 吧~