Docker Desktop 安装程序 DLL 劫持漏洞

Docker Desktop是一款为开发者提供的跨平台容器管理工具，支持Windows和macOS系统。它简化了Docker引擎、容器、镜像的管理，并提供了图形化界面，方便用户创建、构建、运行和管理容器。Docker Desktop集成了Docker CLI、Kubernetes、容器虚拟化技术，以及支持本地开发和测试，旨在提高开发效率并简化部署流程。它是开发人员在本地环境中构建和测试容器化应用的理想工具。2025年10月28日，启明星辰集团VSRC监测到一个影响Docker Desktop for Windows安装程序的DLL劫持漏洞，源于不安全的DLL搜索顺序。安装程序在查找DLL时，会优先在用户的Downloads文件夹中搜索，而非系统目录。这使得攻击者可通过在该文件夹中放置恶意DLL，实现本地权限提升。该漏洞允许攻击者获取更高权限并执行恶意操作。漏洞评分8.8分，漏洞级别高危。

Spring Security 静态资源权限绕过漏洞(CVE-2024-38821)

Spring WebFlux应用程序在静态资源上使用Spring Security授权规则时，由于解析差异可能导致权限绕过，从而未授权访问这些资源。

Windows 服务器更新服务 (WSUS) 远程代码执行漏洞(CVE-2025-59287)

Windows Server Update Service 中不受信任的数据的反序列化允许未经授权的攻击者通过网络执行代码。

Adobe Commerce 输入验证不当漏洞(CVE-2025-54236)

Adobe Commerce是一个广泛使用的电商平台，支持企业创建和管理在线商店。受影响的版本包括2.4.9\-alpha2、2.4.8\-p2、2.4.7\-p7、2.4.6\-p12、2.4.5\-p14、2.4.4\-p15及更早版本。由于输入验证不当，攻击者可以利用此漏洞实现会话接管，增加机密性和完整性的影响。

Lanscope Endpoint Manager 远程代码执行漏洞(CVE-2025-61932)

Lanscope Endpoint Manager是一款企业级终端管理解决方案，用于监控和管理网络中的终端设备。该产品包括客户端程序（MR）和检测代理（DA）。由于产品未能正确验证传入请求的来源，攻击者可以发送特制的数据包来执行任意代码。