聚焦源代码安全网罗国内外最新资讯编译代码卫士美国网络安全与基础设施安全局CISA警告称Versa和Zimbra开发的企业软件、Vite前端工具框架以及Prettier代码格式化工具中的四个漏洞正遭受活跃攻击。这些安全问题已被列入CISA的已知可利用漏洞KEV目录表明该机构已掌握黑客在现实攻击中利用这些漏洞的证据。其中一个漏洞为CVE-2025-31125是去年3月披露的一个高危严重性访问控制不当漏洞。当服务器被明确暴露于网络时攻击者可利用该漏洞窃取未授权访问的文件。该漏洞仅影响已暴露的开发环境实例并已在6.2.4、6.1.3、6.0.13、5.4.16及4.5.11版本中修复。另一漏洞是CVE-2025-34026于2025年5月披露是位于Versa Concerto SD-WAN编排平台中严重的身份验证绕过漏洞。该漏洞由Traefik反向代理配置不当引起可导致攻击者访问包括内部Actuator端点在内的管理接口从而泄露堆转储和跟踪日志数据。受影响的产品包括 Concerto 12.1.2 至 12.2.0 版本其它版本也可能受到影响。网络安全公司 ProjectDiscovery 的研究人员于 2025 年 2 月 13 日向供应商报告了这些问题Versa Concerto 向 BleepingComputer 确认已在 2025 年 3 月 7 日修复。第三个已遭利用漏洞是 CVE-2025-54313它是一个由于供应链受攻击导致的高危漏洞影响了用于解决代码检查工具 ESLint 与 Prettier 代码格式化工具之间冲突的 eslint-config-prettier 包。去年 7 月黑客劫持了多个流行的 JavaScript 库其中包括 eslint-config-prettier并在 npm 上发布了嵌入恶意代码的版本。安装受影响的软件包版本8.10.1、9.1.1、10.1.6和10.1.7会运行恶意的install.js脚本该脚本将在Windows系统上加载node-gyp.dll恶意载荷以窃取npm身份验证令牌。第四个已遭利用的漏洞是CVE-2025-68645于2025年12月22日披露是位于Zimbra Collaboration Suite 10.0和10.1版本中Webmail Classic UI的本地文件包含漏洞。该漏洞源于RestFilter servlet对用户提供参数的处理不当。未经身份验证的攻击者可以利用/h/rest端点包含WebRoot目录中的任意文件。CISA现要求所有受BOD 22-01指令约束的联邦机构必须在2026年2月12日前应用可用的安全更新或供应商建议的缓解措施或停止使用相关产品。该机构尚未分享任何关于漏洞利用活动的具体细节且这些漏洞在勒索软件攻击中的利用状态被标记为“未知”。开源卫士试用地址https://oss.qianxin.com/#/login代码卫士试用地址https://sast.qianxin.com/#/login推荐阅读CISA KEV 清单共收录1048个已遭利用漏洞2025年增长20%CISA提醒注意 WHILL Model C2 电动轮椅中的严重漏洞CISA 将已遭利用的 Digiever NVR RCE漏洞纳入KEVReact2Shell30家机构已受陷77k IP地址易受影响被列入 CISA KEVCISA 将 OpenPLC ScadaBR 纳入必修清单原文链接https://www.bleepingcomputer.com/news/security/cisa-confirms-active-exploitation-of-four-enterprise-software-bugs/题图Pixabay License本文由奇安信编译不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。奇安信代码卫士 (codesafe)国内首个专注于软件开发安全的产品线。觉得不错就点个 “在看” 或 赞” 吧~