漏洞安全告警
1、Google产品安全漏洞
本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞导致在沙箱内执行任意代码，通过特制HTML页面利用堆损坏，导致本地权限提升，通过特制HTML页面进行UI欺骗等。
CNVD收录的相关漏洞包括：Google Chrome存在未明漏洞（CNVD-2026-29293、CNVD-2026-29294）、Google Android存在未明漏洞（CNVD-2026-29296）、Google Chrome内存错误引用漏洞（CNVD-2026-29297、CNVD-2026-29314、CNVD-2026-29354）、Google Chrome安全绕过漏洞（CNVD-2026-29364、CNVD-2026-29365）。除“Google Android存在未明漏洞（CNVD-2026-29296）”外，上述漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。
参考链接：
https://www.cnvd.org.cn/flaw/show/CNVD-2026-29293
https://www.cnvd.org.cn/flaw/show/CNVD-2026-29294
https://www.cnvd.org.cn/flaw/show/CNVD-2026-29296
https://www.cnvd.org.cn/flaw/show/CNVD-2026-29297
https://www.cnvd.org.cn/flaw/show/CNVD-2026-29314
https://www.cnvd.org.cn/flaw/show/CNVD-2026-29354
https://www.cnvd.org.cn/flaw/show/CNVD-2026-29364
https://www.cnvd.org.cn/flaw/show/CNVD-2026-29365
2、Microsoft产品安全漏洞
本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞导致拒绝服务，提升权限，执行任意代码，获取敏感信息等。
CNVD收录的相关漏洞包括：Microsoft .NET Framework拒绝服务漏洞（CNVD-2026-28483）、Microsoft ASP.NET Core权限提升漏洞（CNVD-2026-28484）、Microsoft Office代码执行漏洞（CNVD-2026-28485）、Microsoft Excel代码执行漏洞（CNVD-2026-28559、CNVD-2026-28615、CNVD-2026-28616）、Microsoft Excel信息泄露漏洞（CNVD-2026-28560）、Microsoft Office信息泄露漏洞（CNVD-2026-28612）。除“Microsoft Excel信息泄露漏洞（CNVD-2026-28560）、Microsoft Office信息泄露漏洞（CNVD-2026-28612）”外，上述漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。
参考链接：
https://www.cnvd.org.cn/flaw/show/CNVD-2026-28483
https://www.cnvd.org.cn/flaw/show/CNVD-2026-28484
https://www.cnvd.org.cn/flaw/show/CNVD-2026-28485
https://www.cnvd.org.cn/flaw/show/CNVD-2026-28559
https://www.cnvd.org.cn/flaw/show/CNVD-2026-28560
https://www.cnvd.org.cn/flaw/show/CNVD-2026-28612
https://www.cnvd.org.cn/flaw/show/CNVD-2026-28615
https://www.cnvd.org.cn/flaw/show/CNVD-2026-28616
3、Apple产品安全漏洞
本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞通过诱导用户访问恶意网页触发任意代码执行，通过恶意应用访问受保护的用户数据，通过构造恶意网页内容触发意外进程崩溃等。
CNVD收录的相关漏洞包括：Apple Safari资源管理错误漏洞（CNVD-2026-28244、CNVD-2026-28246、CNVD-2026-28245、CNVD-2026-28249、CNVD-2026-28248、CNVD-2026-28247、CNVD-2026-28252）、Apple macOS访问控制错误漏洞（CNVD-2026-28253）。上述漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。
参考链接：
https://www.cnvd.org.cn/flaw/show/CNVD-2026-28244
https://www.cnvd.org.cn/flaw/show/CNVD-2026-28246
https://www.cnvd.org.cn/flaw/show/CNVD-2026-28245
https://www.cnvd.org.cn/flaw/show/CNVD-2026-28249
https://www.cnvd.org.cn/flaw/show/CNVD-2026-28248
https://www.cnvd.org.cn/flaw/show/CNVD-2026-28247
https://www.cnvd.org.cn/flaw/show/CNVD-2026-28253
https://www.cnvd.org.cn/flaw/show/CNVD-2026-28252
4、Apache产品安全漏洞
本周，上述产品被披露存在多个漏洞，攻击者可利用漏洞在内部DataNode RPC端口暴露于不可信网络时，利用JAR名称中的路径遍历序列向预期Trigger安装目录之外写入文件，从而以IoTDB进程权限实现任意文件写入，导致内存耗尽拒绝服务，导致未授权访问和远程代码执行等。
CNVD收录的相关漏洞包括：Apache ActiveMQ授权问题漏洞（CNVD-2026-28237）、Apache HttpComponents Core资源管理错误漏洞、Apache IoTDB权限许可和访问控制问题漏洞、Apache IoTDB授权问题漏洞（CNVD-2026-28234）、Apache ActiveMQ授权问题漏洞（CNVD-2026-28240）、Apache Camel授权问题漏洞（CNVD-2026-28239）、Apache ActiveMQ输入验证错误漏洞（CNVD-2026-28238）、Apache ActiveMQ资源管理错误漏洞（CNVD-2026-28243）。上述漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。
参考链接：
https://www.cnvd.org.cn/flaw/show/CNVD-2026-28237
https://www.cnvd.org.cn/flaw/show/CNVD-2026-28236
https://www.cnvd.org.cn/flaw/show/CNVD-2026-28235
https://www.cnvd.org.cn/flaw/show/CNVD-2026-28234
https://www.cnvd.org.cn/flaw/show/CNVD-2026-28240
https://www.cnvd.org.cn/flaw/show/CNVD-2026-28239
https://www.cnvd.org.cn/flaw/show/CNVD-2026-28238
https://www.cnvd.org.cn/flaw/show/CNVD-2026-28243
5、OFCMS SQL注入漏洞（CNVD-2026-28257）
本周，OFCMS被披露存在SQL注入漏洞。该漏洞产生的原因是SystemParamController.java中的Query功能未能正确验证用户输入，攻击者可利用该漏洞通过构造恶意SQL语句执行未授权数据库操作。目前，厂商尚未发布上述漏洞的修补程序。CNVD提醒广大用户随时关注厂商主页，以获取最新版本。
参考链接：
https://www.cnvd.org.cn/flaw/show/CNVD-2026-28257
漏洞攻击验证情况
1、OFCMS SysUserController.java Query函数SQL注入漏洞
验证描述
OFCMS存在SQL注入漏洞。该漏洞源于SysUserController.java文件的Query函数对用户输入未能正确验证，攻击者可利用该漏洞通过构造特制的JSON查询参数执行恶意SQL语句，导致数据库信息泄露或被篡改。
验证信息
POC链接：
https://gitee.com/oufu/ofcms/issues/IJLL09
参考链接：
https://www.cnvd.org.cn/flaw/show/CNVD-2026-28256
(来源：“网信温州”微信公众号)
(链接：https://mp.weixin.qq.com/s/Z0wDALex5NXtzsXPxTa2vQ）