上周关注度较高的产品安全漏洞(20190624-20190630)

一、境外厂商产品漏洞

1、IBM Security Access Manager Appliance用户冒充漏洞

IBM Security Access Manager Appliance（ISAM Appliance）是美国IBM公司的一款基于网络设备的安全解决方案。该产品主要用于访问控制和基于Web的威胁防护，提供系统性能监控、日志分析和诊断等功能。IBM ISAM Appliance中存在安全漏洞。攻击者可利用该漏洞伪造其他用户。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2019-19463

2、Sequelize SQL注入漏洞（CNVD-2019-19314）

Sequelize是一款用于Node.js的数据库ORM（对象关系映射）工具。Sequelize 5.8.11之前版本中存在SQL注入漏洞。该漏洞源于基于数据库的应用缺少对外部输入SQL语句的验证。攻击者可利用该漏洞执行非法SQL命令。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2019-19314

3、Mozilla Thunderbird类型混淆漏洞

Mozilla Thunderbird是美国Mozilla基金会的一套从Mozilla Application Suite独立出来的电子邮件客户端软件。该软件支持IMAP、POP邮件协议以及HTML邮件格式。Mozilla Thunderbird 60.7.1之前版本中的icalproperty.c文件存在类型混淆漏洞。攻击者可通过诱使用户打开特制的邮件利用该漏洞造成应用程序崩溃。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2019-19319

4、Adobe Acrobat/Reader内存错误引用漏洞（CNVD-2019-19836）

Adobe Reader(也被称为Acrobat Reader)是Adobe公司开发的一款PDF文件阅读软件。Adobe Acrobat是由Adobe公司开发的一款PDF编辑软件。Adobe Acrobat/Reader存在内存错误引用漏洞。攻击者可利用该漏洞执行任意代码。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2019-19836

5、ABB PB610 IDAL FTP server格式字符串漏洞

ABB PB610是瑞士ABB公司的一款为CP600控制面板平台设计图形用户界面的软件。IDAL FTP server是其中的一个FTP（文件传输协议）服务器。ABB PB610 IDAL FTP server中存在安全漏洞，该漏洞源于程序未能正确处理用户名称中的格式化字符串。攻击者可利用该漏洞绕过身份验证或在服务器上执行代码。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2019-19832

二、境内厂商产品漏洞

1、TPshop开源商城系统 Ap***.php文件存在SQL注入漏洞

TPshop开源商城系统( Thinkphp shop的简称 )，是深圳搜豹网络有限公司开发的一套多商家模式的商城系统。TPshop开源商城系统 Ap***.php文件存在SQL注入漏洞，攻击者可利用该漏洞获取数据库敏感信息。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2019-17067

2、成都动力无限科技有限公司建站系统ne***.asp页面cid参数存在SQL注入漏洞

成都动力无限科技有限公司是一家为中小企业建设营销型网站及网络营销服务的互联网公司。成都动力无限科技有限公司建站系统ne***.asp页面cid参数存在SQL注入漏洞，攻击者可利用该漏洞获取数据库敏感信息。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2019-16766

3、百恒网络cms存在文件上传漏洞

百恒网络cms采用php+mysql+bootstrap等框架开发的建站系统。百恒网络cms存在文件上传漏洞，攻击者可利用该漏洞获取网站服务器控制权。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2019-16765

4、开开物联智能路灯控制器存在设计漏洞

开开物联智能路灯控制器是开开物联（北京）信息技术的新一代智能有限公司自主研发照明控制器。开开物联智能路灯控制器存在设计漏洞，攻击者可通过加入与云端的通信网络，利用该漏洞模拟云端向所有控制器远程发布控制命令，进而控制智能路灯。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2019-16763

5、EyouCms存在代码执行漏洞

易优内容管理系统(EyouCms)是由php+mysql开发的一套专门用于中小企业网站建设的开源CMS。EyouCms存在代码执行漏洞，攻击者可利用该漏洞获取网站服务器控制权。

参考链接：

https://www.cnvd.org.cn/flaw/show/CNVD-2019-16761

说明：关注度分析由CNVD秘书处根据互联网用户对CNVD漏洞信息查阅情况以及产品应用广泛情况综合评定。