LIBPNG 越界读取漏洞 (CVE-2025-64720)

LIBPNG 是一个用于读取、创建和操作 PNG（便携式网络图形）光栅图像文件的应用程序参考库。从版本 1.6.0 到 1.6.51 之前，当处理启用了 PNG\_FLAG\_OPTIMIZE\_ALPHA 的调色板图像时，png\_image\_read\_composite 中存在一个越界读取漏洞。png\_init\_read\_transformations 中的调色板合成代码在预乘过程中错误地应用了背景合成，违反了简化 PNG API 所要求的不变式 component ≤ alpha × 257。此问题已在版本 1.6.51 中修复。

Ray Dashboard Job API 认证缺失导致远程代码执行漏洞

Ray 是一套开源的分布式计算框架，通过 Dashboard Web 服务提供任务管理、调度与可视化接口，在本地开发与集群场景中广泛使用。 受影响版本中，Dashboard 的 Job API 在处理创建任务的 HTTP 请求时，仅依赖 User\-Agent 判断是否来自浏览器。该接口位于 dashboard/modules/job/job\_head.py 的 JobsHeadHttpServer.\_is\_browser\_request 与相关路由中逻辑未进行身份校验，导致攻击者可利用浏览器的 Fetch 请求与DNS重绑定，将受害者浏览器流量引向本地 Dashboard，直接触发 /api/jobs 与 /api/job\_agent/jobs/ 等可执行任意任务的接口，从而执行任意命令。 修复版本中通过引入基于 Sec\-Fetch\-\* 请求头的浏览器识别机制，在 JobsHeadHttpServer.\_is\_browser\_request 中加入对 Sec\-Fetch\-Mode 等字段的检测，并在 Job 创建接口中拒绝带有浏览器特征的请求，进一步阻断浏览器可达路径，防止 DNS重绑...

GeoServer XML外部实体注入漏洞(CVE-2025-58360)

GeoServer是一个开源服务器，允许用户共享和编辑地理空间数据。该漏洞源于 /geoserver/wms 端点的 GetMap 操作在接收 XML 请求时未对外部实体引用进行充分限制。攻击者可以利用该漏洞，通过构造恶意的 XML 数据注入外部实体，从而读取服务器上的敏感信息或导致拒绝服务。

Oracle Identity Manager 远程代码执行漏洞(CVE-2025-61757)

该漏洞源于 SecurityFilter 对请求URI处理不当，攻击者可通过添加参数 ;.wadl 绕过身份验证，然后利用Groovy脚本在处理器编译时执行任意代码，从而获取服务器权限。

Fortinet FortiWeb 操作系统命令注入漏洞(CVE-2025-58034)

Fortinet FortiWeb是一款由Fortinet公司开发的网络应用防火墙，用于保护Web应用免受攻击。受影响的版本包括FortiWeb 8.0.0至8.0.1、7.6.0至7.6.5、7.4.0至7.4.10、7.2.0至7.2.11、7.0.0至7.0.11。该漏洞是由于系统未能正确中和OS命令中的特殊元素，导致经过身份验证的攻击者可以通过精心构造的HTTP请求或CLI命令在底层系统上执行未授权的代码。