Kubernetes ingress-nginx auth secret file 目录遍历漏洞（CVE-2025-24513）

2025年3月，Kubernetes 官方披露 CVE\-2025\-24513 Kubernetes ingress\-nginx auth secret file 目录遍历漏洞（CVE\-2025\-24513）。Nginx Ingress Controller不对Ingress资源写权限持有者提交的输入数据进行充分验证与过滤。攻击者可利用此漏洞构造恶意请求，将非法数据注入配置文件的生成路径中，从而触发容器内的目录遍历漏洞。该漏洞可能导致拒绝服务，或者与其他漏洞结合使用，导致集群内有限Secrets实例的泄露。

Next.js 中间件绕过漏洞

Next.js 是由 Vercel 开发的基于 React 的现代 Web 应用框架，具备前后端一体的开发能力，广泛用于开发 Server\-side Rendering \(SSR\) 和静态站点生成（SSG）项目。Next.js 支持传统的 Node.js 模式和基于边缘计算（Edge Function）的运行模式，后者适用于轻量、高性能的服务逻辑。 2025 年 3 月，社区研究人员披露了 Next.js 中存在一个认证绕过漏洞（CVE\-2025\-29927）。该漏洞成因是框架中用于标记中间件递归请求的特殊请求头 \`x\-middleware\-subrequest\` 可被用户伪造，导致中间件处理链被绕过，进而影响基于中间件实现的身份认证、重定向等关键安全逻辑。由于使用该框架的应用较多，如AI应用 chatbot\-ui，建议受影响的用户根据实际情况评估风险，立即修复此漏洞。 影响版本： 11.1.4 <\= next.js <\= 13.5.6 14.0.0 <\= next.js <\= 14.2.24 15.0.0 <\= next.js <\= 15.2.2 修复版本：14.2.2...

VLLM Mooncake pickle反序列化漏洞（CVE-2025-29783）

vLLM是一个快速、易用的大模型推理服务引擎。其旧版Mooncake组件存在pickle反序列化漏洞，当vLLM配置使用了Mooncake作为分布式kvcache并将端口开放在外时，未经授权的远程攻击者可向Mooncake发送恶意的序列化数据，实现远程代码执行，导致服务器失陷。

ragflow web_crawl SSRF漏洞（CVE-2024-12450）

ragflow是一款用于构建和管理 RAG（检索增强生成）应用的工具，其旧版本web\_crawl接口存在一个SSRF漏洞，已获得登录权限的远程攻击者，可以利用该漏洞访问服务器所处的内网环境，或者读取系统内的任意文件，导致敏感信息泄漏，并有可能实现远程代码执行。

Code-Projects Blood Bank Management System 安全漏洞

Code\-Projects Blood Bank Management System是Code\-Projects开源的一个血库管理系统。 Code\-Projects Blood Bank Management System 1.0版本存在安全漏洞，该漏洞源于会导致SQL注入。