上周关注度较高的产品安全漏洞(20190429-20190512)

一、境外厂商产品漏洞

1、Siemens Spectrum Power命令注入漏洞

Siemens Spectrum Power是一款为控制和监视系统的SCADA，通信和数据建模提供基本组件的系统。Siemens Spectrum Power存在命令注入漏洞，攻击者可利用该漏洞执行操作系统命令。

参考链接：

http://www.cnvd.org.cn/flaw/show/CNVD-2019-12906

2、Adobe Acrobat和Reader堆溢出漏洞（CNVD-2019-12878）

Adobe Acrobat是由Adobe公司开发的一款PDF编辑软件。Adobe Reader(也被称为Acrobat Reader)是Adobe公司开发的一款PDF文件阅读软件。Adobe Acrobat和Reader存在堆溢出漏洞。攻击者可利用该漏洞执行任意代码。

参考链接：

http://www.cnvd.org.cn/flaw/show/CNVD-2019-12878

3、Apache Mesos代码执行漏洞

Apache Mesos是美国阿帕奇（Apache）软件基金会的一套支持Hadoop、ElasticSearch和Spark等应用架构的开源群集管理软件。Apache Mesos中存在安全漏洞。攻击者可借助特制的Docker镜像利用该漏洞在主机上以root权限执行代码。

参考链接：

http://www.cnvd.org.cn/flaw/show/CNVD-2019-12886

4、Joomla! St***组件ch***功能存在SQL注入漏洞

Joomla!是一款开放源码的内容管理系统(CMS)。Joomla!St***组件ch***功能存在SQL注入漏洞，攻击者可利用该漏洞获取数据库敏感信息。

参考链接：

http://www.cnvd.org.cn/flaw/show/CNVD-2019-10037

5、Sierra Wireless AirLink ES450未授权密码修改漏洞

Sierra Wireless AirLink ES450是加拿大Sierra Wireless公司的一款蜂窝网络调制解调器设备。使用4.9.3版本版本固件的Sierra Wireless AirLink ES450中的ACEManager upload.cgi功能存在未授权密码修改漏洞，攻击者可通过发送特制的HTTP请求利用该漏洞更改密码。

参考链接：

http://www.cnvd.org.cn/flaw/show/CNVD-2019-13238

二、境内厂商产品漏洞

1、北京十度创想科技有限公司企业建站系统存在SQL注入漏洞

北京十度创想科技有限公司是一家为中高端企业提供互联网品牌服务的提供商，专注于北京网站建设、北京网站制作。北京十度创想科技有限公司企业建站系统存在SQL注入漏洞，攻击者利用漏洞可获得数据库敏感信息。

参考链接：

http://www.cnvd.org.cn/flaw/show/CNVD-2019-09597

2、YxtCMF在线学习系统v6.1存在代码执行漏洞

YxtCMF在线学习系统是一个以thinkphp+bootstrap为框架进行开发的网络学习平台系统。YxtCMF在线学习系统v6.1存在代码执行漏洞，攻击者利用漏洞可执行任意代码。

参考链接：

http://www.cnvd.org.cn/flaw/show/CNVD-2019-09604

3、phpBB v3.2.3存在Phar反序列化远程代码执行漏洞

phpBB是一套开源的使用PHP语言开发的Web论坛软件。phpBB v3.2.3存在Phar反序列化远程代码执行漏洞，攻击者可利用该漏洞获取网站服务器控制权。

参考链接：

http://www.cnvd.org.cn/flaw/show/CNVD-2019-10434

4、QCMS 3.0.1后台存在文件上传漏洞

QCMS网站管理系统是通过MVC架构开发的一套PHP轻量级系统。QCMS 3.0.1版本存在文件上传漏洞。攻击者可利用漏洞伪造绕过后台登陆，上传webshell，获得服务器权限。

参考链接：

http://www.cnvd.org.cn/flaw/show/CNVD-2019-10446

5、精讯CMS存在SQL注入漏洞

精迅CMS是台州精迅信息技术有限公司开发的一款PHP+Mysql的内容管理系统。精讯CMS存在SQL注入漏洞，攻击者可利用该漏洞获取数据库敏感信息。

参考链接：

http://www.cnvd.org.cn/flaw/show/CNVD-2019-09127

说明：关注度分析由CNVD秘书处根据互联网用户对CNVD漏洞信息查阅情况以及产品应用广泛情况综合评定。