Spring Cloud Gateway 环境属性修改漏洞(CVE-2025-41243)

该漏洞源于 Spring Cloud Gateway 的 SpEL 表达式​​安全校验机制存在缺陷​，攻击者可通过暴露的 Actuator 端点，通过修改系统属性（如禁用 restrictive\-property\-accessor）来读取环境变量等敏感信息。

Chrome V8 类型混淆远程执行漏洞

Google Chrome 是由谷歌开发的跨平台网页浏览器，以其速度、安全性和简洁的界面而闻名。它基于开源的Chromium项目，支持现代网页标准，具有强大的扩展性。Chrome的沙箱技术可以限制网页中的恶意代码，增强浏览器的安全性。它还提供了同步功能，允许用户在多个设备间同步书签、历史记录等数据。此外，Chrome定期更新，修复已知漏洞并增强功能，是全球使用最广泛的浏览器之一。2025年9月18日，启明星辰集团VSRC监测到Chrome V8引擎出现类型混淆漏洞；攻击者可通过构造恶意网页诱导用户访问，进而操纵内存布局并触发任意代码执行。谷歌已确认该漏洞在野被利用。漏洞评分8.7，漏洞级别高危。

Udisks 守护进程内存错误引用漏洞(CVE-2025-8067)

Udisks 是一个用于管理存储设备的守护进程，它提供了创建和管理挂载点的功能。该漏洞由于在处理D\-BUS接口请求时未能正确验证索引参数的下界，导致攻击者可以利用负值索引参数，可能引起Udisks守护进程崩溃或执行本地提权操作，从而访问到特权用户拥有的文件。

Django SQL 注入漏洞(CVE-2022-34265)

Django 是一个免费且开源的、基于 Python 的 Web 框架，可以快速开发安全且可维护的网站。 Django 框架的 Trunc\(kind\) 和 Extract\(lookup\_name\) 参数存在潜在的 SQL 注入漏洞。

NVIDIA Triton Inference Server Python后端命令注入漏洞

NVIDIA Triton推理服务器是一个开源的AI模型推理平台，支持多种深度学习框架，广泛应用于生产环境中的机器学习模型部署。Python后端作为其核心组件之一，负责执行Python编写的推理模型。 受影响版本中，在处理模型加载请求时未对 model\_name 参数做安全校验。在 stub\_launcher.cc 的 Launch 函数中，系统直接将用户提供的模型名称用作 stub 进程名称并拼入 shell 命令执行。攻击者可在 model\_name 中注入分号、管道符、反引号等特殊字符，通过接口 POST /v2/repository/models/\{model\_name\}/load 提交恶意载荷，触发命令注入漏洞。 修复版本中通过在pb\_utils.cc中新增IsValidIdentifier函数，定义了包含;\|&$<\>\(\)\[\]\{\}"'\*?\~\#\!的危险字符集合，并在stub\_launcher.cc的Launch\`函数中调用该验证函数检查模型名称参数。当检测到无效字符时，系统返回"Invalid stub name: contains invalid characters"错误，...