ComfyUI follow_symlinks 文件读取漏洞

ComfyUI 是 一个基于节点流程的 Stable Diffusion 操作界面,可以通过流程,实现了更加精准的工作流定制和完善的可复现性。2024年互联网上披露其存在文件读取漏洞，攻击者可在无需登陆的情况下读取遍历系统上的文件，造成敏感信息泄漏。 参考链接：https://github.com/comfyanonymous/ComfyUI/pull/2902

灵当CRM uploadify.php 任意文件上传漏洞

文件上传漏洞发生在应用程序允许用户上传文件的功能中，如果上传功能未能正确地验证和限制上传文件的类型和内容，攻击者可能利用此漏洞上传恶意文件，如包含可执行代码的脚本文件，从而在服务器上执行任意命令，控制或破坏系统。

用友-U8CRM attrlist.php SQL注入漏洞

SQL注入漏洞是指攻击者通过在Web应用程序的输入字段中插入恶意SQL代码，从而绕过应用程序的安全措施，直接对数据库执行非法操作。这种漏洞通常发生在应用程序未对用户输入进行充分验证和过滤的情况下，使得攻击者能够获取、修改或删除数据库中的数据，甚至可能执行服务器上的任意代码。

CyberPanel认证绕过及远程命令执行漏洞(CVE-2024-51378)

在 CyberPanel（也称为 Cyber Panel）的 dns/views.py 和 ftp/views.py 中的 getresetstatus 函数，在 1c0c6cb 之前的版本中，允许远程攻击者绕过认证并执行任意命令。攻击者可以通过 /dns/getresetstatus 或 /ftp/getresetstatus 绕过仅适用于 POST 请求的 secMiddleware，并在 statusfile 属性中使用 shell 元字符，正如 PSAUX 在 2024 年 10 月在野外利用的那样。受影响的版本包括 2.3.6 之前的版本以及未修补的 2.3.7 版本。

脸爱云一脸通智慧管理平台 monadFileUpload.do 任意文件上传漏洞

文件上传漏洞发生在应用程序允许用户上传文件的功能中，如果上传功能未能正确地验证和限制上传文件的类型和内容，攻击者可能利用此漏洞上传恶意文件，如包含可执行代码的脚本文件，从而在服务器上执行任意命令，控制或破坏系统。