信息安全漏洞周报（2023年第23期）
根据国家信息安全漏洞库（CNNVD）统计，本周（2023年6月5日至2023年6月11日）安全漏洞情况如下：
公开漏洞情况
本周CNNVD采集安全漏洞571个。
接报漏洞情况
本周CNNVD接报漏洞13616个，其中信息技术产品漏洞（通用型漏洞）275个，网络信息系统漏洞（事件型漏洞）153个，漏洞平台推送漏洞13188个。
一、公开漏洞情况
根据国家信息安全漏洞库（CNNVD）统计，本周新增安全漏洞571个，漏洞新增数量有所上升。从厂商分布来看WordPress基金会新增漏洞最多，有188个；从漏洞类型来看，跨站脚本类的安全漏洞占比最大，达到7.88%。新增漏洞中，超危漏洞55个，高危漏洞144个，中危漏洞346个，低危漏洞26个。
（一） 安全漏洞增长数量情况
本周CNNVD采集安全漏洞571个。
图1 近五周漏洞新增数量统计图
（二） 安全漏洞分布情况
从厂商分布来看，WordPress基金会新增漏洞最多，有188个。各厂商漏洞数量分布如表1所示。
表1 新增安全漏洞排名前五厂商统计表
序号 | 厂商名称 | 漏洞数量（个） | 所占比例 |
1 | WordPress基金会 | 188 | 32.92% |
2 | 高通 | 32 | 5.60% |
3 | 联发科 | 31 | 5.43% |
4 | 紫光展锐 | 20 | 3.50% |
5 | 华为 | 18 | 3.15% |
本周国内厂商漏洞104个，联发科公司漏洞数量最多，有31个。国内厂商漏洞整体修复率为78.85%。请受影响用户关注厂商修复情况，及时下载补丁修复漏洞。
从漏洞类型来看, 跨站脚本类的安全漏洞占比最大，达到7.88%。漏洞类型统计如表2所示。
表2 漏洞类型统计表
序号 | 漏洞类型 | 漏洞数量（个） | 所占比例 |
1 | 跨站脚本 | 45 | 7.88% |
2 | 缓冲区错误 | 43 | 7.53% |
3 | SQL注入 | 18 | 3.15% |
4 | 跨站请求伪造 | 17 | 2.98% |
5 | 输入验证错误 | 12 | 2.10% |
6 | 代码问题 | 9 | 1.58% |
7 | 资源管理错误 | 9 | 1.58% |
8 | 路径遍历 | 9 | 1.58% |
9 | 授权问题 | 6 | 1.05% |
10 | 信息泄露 | 6 | 1.05% |
11 | 访问控制错误 | 4 | 0.70% |
12 | 命令注入 | 4 | 0.70% |
13 | 操作系统命令注入 | 2 | 0.35% |
14 | 代码注入 | 2 | 0.35% |
15 | 日志信息泄露 | 1 | 0.18% |
16 | 注入 | 1 | 0.18% |
17 | 数据伪造问题 | 1 | 0.18% |
18 | 其他 | 382 | 66.90% |
（三） 安全漏洞危害等级与修复情况
本周共发布超危漏洞55个，高危漏洞144个，中危漏洞346个，低危漏洞26个。相应修复率分别为80.00%、88.89%、84.10%和73.08%。根据补丁信息统计，合计482个漏洞已有修复补丁发布，整体修复率为84.41%。详细情况如表3所示。
表3 漏洞危害等级与修复情况
序号 | 危害等级 | 漏洞数量（个） | 修复数量（个） | 修复率 |
1 | 超危 | 55 | 44 | 80.00% |
2 | 高危 | 144 | 128 | 88.89% |
3 | 中危 | 346 | 291 | 84.10% |
4 | 低危 | 26 | 19 | 73.08% |
合计 | 571 | 482 | 84.41% |
（四） 本周重要漏洞实例
本周重要漏洞实例如表4所示。
表4 本期重要漏洞实例
序号 | 漏洞 | 漏洞编号 | 厂商 | 漏洞实例 | 是否修复 | 危害等级 |
类型 | ||||||
1 | SQL注入 | CNNVD-202306-661 | WordPress基金会 | WordPress plugin Multiple Page Generator SQL注入漏洞 | 是 | 超危 |
2 | 其他 | CNNVD-202306-379 | GitLab | GitLab 安全漏洞 | 是 | 高危 |
3 | 其他 | CNNVD-202306-420 | Mozilla基金会 | Mozilla Firefox 安全漏洞 | 是 | 高危 |
1.WordPress plugin Multiple Page Generator SQL注入漏洞（CNNVD-202306-661）
WordPress和WordPress plugin都是WordPress基金会的产品。WordPress是一套使用PHP语言开发的博客平台。该平台支持在PHP和MySQL的服务器上架设个人博客网站。WordPress
plugin是一个应用插件。
WordPress plugin Multiple Page Generator 1.0.17版本及之前版本存在SQL注入漏洞，该漏洞源于对用户提供的orderby和order参数转义不足。攻击者利用该漏洞可以从数据库中提取敏感信息。
目前厂商已发布升级补丁以修复漏洞，参考链接：
https://www.wordfence.com/threat-intel/vulnerabilities/id/1575f0ad-0a77-4047-844c-48db4c8b4e91?source=cve
2.GitLab 安全漏洞（CNNVD-202306-379）
GitLab是美国GitLab公司的一个开源的端到端软件开发平台，具有内置的版本控制、问题跟踪、代码审查、CI/CD（持续集成和持续交付）等功能。
GitLab存在安全漏洞。攻击者利用该漏洞通过将特制的有效载荷发送到preview_markdown端点，从而可以执行正则表达式拒绝服务攻击。以下产品和版本受到影响：15.4.0到15.10.8版本、15.11到15.11.7版本、16.0到16.0.2版本。
目前厂商已发布升级补丁以修复漏洞，参考链接：
https://gitlab.com/gitlab-org/cves/-/blob/master/2023/CVE-2023-2132.json
3.Mozilla Firefox 安全漏洞（CNNVD-202306-420）
Mozilla Firefox是美国Mozilla基金会的一款开源Web浏览器。
Mozilla Firefox存在安全漏洞。攻击者利用该漏洞可以导致内存损坏并执行任意代码。受影响的产品和版本：Mozilla Firefox 113版本、Mozilla Firefox ESR 102.11版本。
目前厂商已发布升级补丁以修复漏洞，参考链接：
https://www.mozilla.org/en-US/security/advisories/mfsa2023-20/
二、漏洞平台推送情况
本周CNNVD接收漏洞平台推送漏洞13188个。
序号 | 漏洞平台 | 漏洞总量 |
1 | 补天平台 | 11732 |
2 | 360漏洞云 | 876 |
3 | 漏洞盒子 | 580 |
推送总计 | 13188 |
三、接报漏洞情况
本周CNNVD接报漏洞428个，其中信息技术产品漏洞（通用型漏洞）275个，网络信息系统漏洞（事件型漏洞）153个。
序号 | 报送单位 | 漏洞总量 |
1 | 北京赛博昆仑科技有限公司 | 75 |
2 | 北京山石网科信息技术有限公司 | 55 |
3 | 北京华云安信息技术有限公司 | 37 |
4 | 个人 | 33 |
5 | 北京长亭科技有限公司 | 16 |
6 | 杭州海康威视数字技术股份有限公司 | 16 |
7 | 华为技术有限公司 | 14 |
8 | 中国电信股份有限公司上海研究院 | 14 |
9 | 北京神州绿盟科技有限公司 | 13 |
10 | 超聚变数字技术有限公司 | 10 |
11 | 内蒙古旌云科技有限公司 | 10 |
12 | 长春嘉诚信息技术股份有限公司 | 10 |
13 | 北京墨云科技有限公司 | 9 |
14 | 北京奇虎科技有限公司 | 8 |
15 | 北京天融信网络安全技术有限公司 | 7 |
16 | 北京安盟信息技术股份有限公司 | 5 |
17 | 博智安全科技股份有限公司 | 5 |
18 | 格林兰德（广东）智慧科技有限公司 | 5 |
19 | 广州天懋信息系统股份有限公司 | 5 |
20 | 黑龙江智泽测评科技有限公司 | 5 |
21 | 广东省信息安全测评中心 | 4 |
22 | 广州竞远安全技术股份有限公司 | 4 |
23 | 河南听潮盛世信息技术有限公司 | 4 |
24 | 深信服科技股份有限公司 | 4 |
25 | 浙江大华技术股份有限公司 | 4 |
26 | 北京网藤科技有限公司 | 3 |
27 | 河南悦海数安科技有限公司 | 3 |
28 | 快页信息技术有限公司 | 3 |
29 | 天津市兴先道科技有限公司 | 3 |
30 | 中兴通讯股份有限公司 | 3 |
31 | 北京安普诺信息技术有限公司 | 2 |
32 | 北京信联数安科技有限公司 | 2 |
33 | 宁波和利时信息安全研究院有限公司 | 2 |
34 | 任子行网络技术股份有限公司 | 2 |
35 | 西安交大捷普网络科技有限公司 | 2 |
36 | 新华三技术有限公司 | 2 |
37 | 徐州天衷网络科技有限公司 | 2 |
38 | 安徽慢音科技有限公司 | 1 |
39 | 安徽天行网安信息安全技术有限公司 | 1 |
40 | 北京安天网络安全技术有限公司 | 1 |
41 | 北京启明星辰信息安全技术有限公司 | 1 |
42 | 北京容辉智信科技有限公司 | 1 |
43 | 北京赛宁网安科技有限公司 | 1 |
44 | 北京云科安信科技有限公司 | 1 |
45 | 北京智游网安科技有限公司 | 1 |
46 | 福建闽盾网络安全有限公司 | 1 |
47 | 广东为辰信息科技有限公司 | 1 |
48 | 贵州蓝天创新科技有限公司 | 1 |
49 | 杭州美创科技股份有限公司 | 1 |
50 | 河南天祺信息安全技术有限公司 | 1 |
51 | 湖南中测网安信息技术有限公司 | 1 |
52 | 江苏韫道信息安全技术有限公司 | 1 |
53 | 浪潮电子信息产业股份有限公司 | 1 |
54 | 墨菲未来科技(北京)有限公司 | 1 |
55 | 南京赛宁信息技术有限公司 | 1 |
56 | 内蒙古信息系统安全等级测评中心 | 1 |
57 | 奇安信网神信息技术（北京）股份有限公司 | 1 |
58 | 麒麟软件有限公司 | 1 |
59 | 锐捷网络股份有限公司 | 1 |
60 | 赛尔网络有限公司 | 1 |
61 | 上海矢安科技有限公司 | 1 |
62 | 腾讯云计算（北京）有限责任公司 | 1 |
63 | 西安四叶草信息技术有限公司 | 1 |
64 | 智网安云（武汉）信息技术有限公司 | 1 |
报送总计 | 428 |
四、收录漏洞通报情况
本周CNNVD收录漏洞通报82份。
序号 | 报送单位 | 通报总量 |
1 | 南京禾盾信息科技有限公司 | 18 |
2 | 苏州棱镜七彩信息科技有限公司 | 7 |
3 | 深信服科技股份有限公司 | 5 |
4 | 新华三技术有限公司 | 4 |
5 | 智网安云（武汉）信息技术有限公司 | 4 |
6 | 安徽长泰科技有限公司 | 3 |
7 | 博智安全科技股份有限公司 | 3 |
8 | 北京梆梆安全科技有限公司 | 2 |
9 | 北京云科安信科技有限公司 | 2 |
10 | 杭州海康威视数字技术股份有限公司 | 2 |
11 | 华为技术有限公司 | 2 |
12 | 山东新潮信息技术有限公司 | 2 |
13 | 上海上讯信息技术股份有限公司 | 2 |
14 | 北京安天网络安全技术有限公司 | 1 |
15 | 北京华云安信息技术有限公司 | 1 |
16 | 北京六方云信息技术有限公司 | 1 |
17 | 北京启明星辰信息安全技术有限公司 | 1 |
18 | 北京赛博昆仑科技有限公司 | 1 |
19 | 北京山石网科信息技术有限公司 | 1 |
20 | 北京时代新威信息技术有限公司 | 1 |
21 | 北京天融信网络安全技术有限公司 | 1 |
22 | 北京信联数安科技有限公司 | 1 |
23 | 北京永信至诚科技股份有限公司 | 1 |
24 | 北京长亭科技有限公司 | 1 |
25 | 烽台科技（北京）有限公司 | 1 |
26 | 广东省信息安全测评中心 | 1 |
27 | 广州锦行网络科技有限公司 | 1 |
28 | 广州天懋信息系统股份有限公司 | 1 |
29 | 河南悦海数安科技有限公司 | 1 |
30 | 黑龙江安信与诚科技开发有限公司 | 1 |
31 | 黑龙江智泽测评科技有限公司 | 1 |
32 | 恒安嘉新(北京)科技股份公司 | 1 |
33 | 奇安信网神信息技术（北京）股份有限公司 | 1 |
34 | 锐捷网络股份有限公司 | 1 |
35 | 山西轩辕信息安全技术有限公司 | 1 |
36 | 上海安识网络科技有限公司 | 1 |
37 | 上海斗象信息科技有限公司 | 1 |
38 | 上海矢安科技有限公司 | 1 |
39 | 深圳海云安网络安全技术有限公司 | 1 |
收录总计 | 82 |