公开漏洞精选
NEWS
”
1.1 Zoom Windows客户端本地提权漏洞
漏洞详情
发布日期：2025-08-12
漏洞编号：CVE-2025-49457
漏洞描述：
Zoom 客户端是广泛用于视频会议、网络研讨会和远程协作的应用程序。在某些 Windows 平台的 Zoom 客户端中存在不受信任搜索路径的漏洞。CVE-2025-49457 涉及的漏洞根本原因是应用程序在加载动态链接库（DLL）或其他可执行文件时，没有正确验证文件路径的可信性。这可能导致攻击者通过网络访问在特定条件下将恶意文件放置在优先搜索路径中，从而导致权限提升。
漏洞类型：命令提升
漏洞评级：严重(CVSS:3.x 9.6)
利用方式：本地
PoC状态：未公开
影响范围：
Zoom Workplace for Windows 6.3.10 之前版本
Zoom Workplace VDI for Windows 6.3.10 之前版本 （6.1.16 和 6.2.12 除外）
Zoom Rooms for Windows 6.3.10 之前版本
Zoom Rooms Controller for Windows 6.3.10 之前版本
Zoom Meeting SDK for Windows 6.3.10 之前版本
修复方案
官方补丁：已发布
官方修复：官方已发布补丁更新包，请升级至无漏洞版本进行修复。
参考链接：
https://www.zoom.com/en/trust/security-bulletin/zsb-25030
https://nvd.nist.gov/vuln/detail/CVE-2025-49457
1.2 Keras 模型加载存在安全模式绕过导致任意代码执行漏洞
漏洞详情
发布日期：2025-08-12
漏洞编号：CVE-2025-8747
漏洞描述：
Keras 是一个用于深度学习的高层神经网络 API，广泛应用于机器学习模型的构建和训练。其 `Model.load_model` 方法用于加载模型文件，支持从磁盘或其他存储位置导入预训练模型。漏洞存在于 Keras 版本 3.0.0 至 3.10.0 中的 `Model.load_model` 方法，该方法的安全模式存在绕过问题。攻击者可通过诱导用户加载特制的 `.keras` 模型文件，触发反序列化问题（CWE-502），从而执行任意代码。漏洞的成因在于组件未正确校验输入数据的可信性，导致恶意模型文件中的代码能够在加载过程中被执行。
漏洞类型：任意代码执行
漏洞评级：高危(CVSS:3.x 8.6)
利用方式：本地
PoC状态：已公开
影响范围：keras [ 3.0.0, 3.11.0)
修复方案
官方补丁：已发布
官方修复：官方已发布补丁更新包，请升级至无漏洞版本进行修复。
参考链接：
https://github.com/keras-team/keras/pull/21429
https://nvd.nist.gov/vuln/detail/CVE-2025-8747
1.3 Apache bRPC Redis 解析器远程拒绝服务漏洞
漏洞详情
发布日期：2025-08-12
漏洞编号：CVE-2025-54472
漏洞描述：
Apache bRPC 是一个高性能、可扩展的 RPC 框架，广泛用于分布式系统中。该框架支持多种协议，包括 Redis 协议。在 CVE-2025-54472 中，Redis 解析器存在一个漏洞，该漏洞可能由于未正确处理恶意构造的请求而导致解析器进入异常状态，从而引发拒绝服务攻击。攻击者可以通过发送特制的 Redis 数据包触发此问题，导致服务资源耗尽或崩溃。
漏洞类型：DOS
漏洞评级：高危
利用方式：远程
PoC状态：未公开
影响范围：
Apache bRPC <1.14.1
修复方案
官方补丁：已发布
官方修复：官方已发布补丁更新包，请升级至无漏洞版本进行修复。
参考链接：
https://www.openwall.com/lists/oss-security/2025/08/12/2
1.4 GitHub Copilot 存在提示词注入导致任意代码执行漏洞
漏洞详情
发布日期：2025-08-12
漏洞编号：CVE-2025-53773
漏洞描述：GitHub Copilot 是一种基于人工智能的代码辅助工具，用于自动生成代码建议， Visual Studio 是广泛使用的集成开发环境（IDE）。该漏洞源于攻击者利用提示词注入技术诱导copilot修改项目配置文件（例如setting.json）,从而绕过安全限制，使未经授权的攻击者能够在本地环境中执行任意代码。攻击者可通过手动构造恶意输入或在代码库中植入恶意指令，当开发者使用copilot时将触发代码执行，并实现对目标系统的远程控制。
漏洞类型：任意代码执行
漏洞评级：高危(CVSS:3.x 7.8)
利用方式：远程
PoC状态：已公开
影响范围：
Microsoft Visual Studio 2022 <17.14
修复方案
官方补丁：已发布
官方修复：官方已发布补丁更新包，请升级至无漏洞版本进行修复。
参考链接：
https://nvd.nist.gov/vuln/detail/CVE-2025-53773
https://embracethered.com/blog/posts/2025/github-copilot-remote-code-execution-via-prompt-injection/
组件投毒情报
NEWS
”
2.1 Python组件flask-tdg-cyber窃取主流浏览器及社交应用敏感数据
投毒详情
投毒概述：组件flask-tdg-cyber的 flask_tdg_cyber/__init__.py 文件包含恶意代码，其主要功能用于窃取系统环境变量、主机名、用户名、系统版本、磁盘信息、网卡IP信息、系统服务、CPU信息、内存状态，窃取的敏感数据发送到攻击者服务器：https://api-tdgbanking.vercel.app/api/coolenv。
投毒编号：XMIRROR-MAL45-E697DA7B
项目主页：
https://pypi.org/project/flask-tdg-cyber
投毒版本：1.0.1;3.100.2
发布日期：2025-08-13
总下载量：2024次
修复方案
开发者可通过命令 pip show flask-tdg-cyber 在项目目录下使用查询是否已安装存在恶意投毒的组件版本，如果已安装请立即使用 pip uninstall flask-tdg-cyber -y 进行卸载。此外，也可使用悬镜安全开源工具 OpenSCA-cli进行扫描检测。
IOC信息：
