XStream 拒绝服务漏洞(CVE-2021-43859)

XStream 是一个开源 java 库，用于将对象序列化为 XML 并再次序列化。 1.4.19 之前的版本可能允许远程攻击者根据 CPU 类型或此类负载的并行执行在目标系统上分配 100% 的 CPU 时间，从而仅通过操纵已处理的输入流来导致拒绝服务。 XStream 1.4.19 监控并累积将元素添加到集合所花费的时间，如果超过设定的阈值则抛出异常。 建议用户尽快升级。 无法升级的用户可以设置 NO\_REFERENCE 模式来防止递归。 如果无法升级，请参阅 GHSA\-rmr5\-cpv2\-vgjf 了解有关解决方法的更多详细信息。

H3C Web网管系统 /webui/?g=log_fw_operate_jsondata SQL注入漏洞

SQL注入漏洞是指攻击者通过在Web应用程序的输入字段中插入恶意SQL代码，从而绕过应用程序的安全措施，直接对数据库执行非法操作。这种漏洞通常发生在应用程序未对用户输入进行充分验证和过滤的情况下，使得攻击者能够获取、修改或删除数据库中的数据，甚至可能执行服务器上的任意代码。

H3C Web网管系统 /webui/?g=log_fw_ad_scan_jsondata SQL注入漏洞

SQL注入漏洞是指攻击者通过在Web应用程序的输入字段中插入恶意SQL代码，从而绕过应用程序的安全措施，直接对数据库执行非法操作。这种漏洞通常发生在应用程序未对用户输入进行充分验证和过滤的情况下，使得攻击者能够获取、修改或删除数据库中的数据，甚至可能执行服务器上的任意代码。

浪潮服务器管理系统弱口令漏洞

弱口令漏洞指的是系统中使用了简单、容易猜测或常见的密码，导致攻击者可以通过猜测或暴力破解的方式轻易获取账户权限，进而访问或控制受影响的系统资源。这种漏洞通常由于缺乏有效的密码策略或用户对安全意识的忽视造成。

DzzOffice 任意文件上传漏洞

文件上传漏洞发生在应用程序允许用户上传文件的功能中，如果上传功能未能正确地验证和限制上传文件的类型和内容，攻击者可能利用此漏洞上传恶意文件，如包含可执行代码的脚本文件，从而在服务器上执行任意命令，控制或破坏系统。