「2025年11月24日」新增「59」条漏洞预警信息，其中
相关服务：菲律宾服务器租用
- CVE漏洞预警「30」条
- 商业软件漏洞预警「17」条
- 供应链投毒预警「12」条
CVE漏洞预警
CVE-2025-13576漏洞
漏洞评级： 中危，5.3
修复建议： 可选修复
POC情况： 暂无POC
漏洞描述： 在代码项目博客站点 1.0 中发现了一个漏洞。受影响元素是文件 /admin.php 的一个未知功能。对其进行操作会导致授权不当。可以远程发起攻击。该漏洞现已公开并且可被利用。多个端点受到影响。
影响范围：
参考链接： https://www.oscs1024.com/hd/MPS-qmhv-kf79
CVE-2025-13575漏洞
漏洞评级： 中危，5.3
修复建议： 可选修复
POC情况： 暂无POC
漏洞描述： 在code-projects博客站点1.0中发现了一个安全漏洞。受影响的是组件分类处理程序中的/resources/functions/blog.php文件的category_exists函数。参数名称/字段的操纵会导致SQL注入。攻击可能来自远程。该漏洞已被公开披露并可被利用。多个端点都受到了影响。
影响范围：
参考链接： https://www.oscs1024.com/hd/MPS-lf9t-nki1
CVE-2025-13577漏洞
漏洞评级： 中危，5.1
修复建议： 可选修复
POC情况： 暂无POC
漏洞描述： PHPGurukul Hostel Management System 2.1中发现了一个漏洞。受影响元素是/register-complaint.php文件的未知功能。操纵参数cdetails可能导致跨站脚本攻击。可以远程发起攻击。该漏洞已被公开并可能被利用。
影响范围：
参考链接： https://www.oscs1024.com/hd/MPS-j7gu-kc2d
CVE-2025-13580漏洞
漏洞评级： 中危，5.3
修复建议： 可选修复
POC情况： 暂无POC
漏洞描述： 在代码项目库系统 1.0 中发现了一个漏洞。受影响的是 /mail.php 文件的一个未知功能。该漏洞涉及对参数 ID 的操纵，导致 SQL 注入。攻击可能来自远程。该漏洞已被公开披露，可以被利用。
影响范围：
参考链接： https://www.oscs1024.com/hd/MPS-pamu-1ekd
CVE-2025-13578漏洞
漏洞评级： 中危，6.9
修复建议： 可选修复
POC情况： 暂无POC
漏洞描述： 在code-projects Library System 1.0中发现了一个漏洞。该漏洞影响组件Login中的/index.php文件的未知功能。操纵参数Username会导致SQL注入。攻击可以远程发起。该漏洞已被公开披露并可被利用。
影响范围：
参考链接： https://www.oscs1024.com/hd/MPS-a6oc-8rf3
CVE-2025-13579漏洞
漏洞评级： 中危，5.3
修复建议： 可选修复
POC情况： 暂无POC
漏洞描述： 在代码项目库系统 1.0 中发现了一个漏洞。该漏洞影响位于 /return.php 文件中的一个未知功能。通过操纵参数 ID，攻击者可以执行 SQL 注入。攻击可以远程发起。该漏洞已被公开并可能被利用。
影响范围：
参考链接： https://www.oscs1024.com/hd/MPS-dwrh-vi9n
CVE-2025-13581漏洞
漏洞评级： 中危，5.3
修复建议： 可选修复
POC情况： 暂无POC
漏洞描述： 在itsourcecode学生信息系统1.0中发现了一个漏洞。受影响的是文件/schedule_edit1.php的一个未知功能。对参数schedule_id进行操纵会导致SQL注入。攻击可能远程发起。该漏洞的利用方法已经公开，可能会被利用。
影响范围：
参考链接： https://www.oscs1024.com/hd/MPS-lg6h-ardc
CVE-2025-13582漏洞
漏洞评级： 中危，6.9
修复建议： 可选修复
POC情况： 暂无POC
漏洞描述： 在Jonny Liquor 1.0的代码项目中发现了一个安全漏洞。该问题影响了组件GET参数处理器中的/detail.php文件的某些未知功能。对参数Product进行操纵会导致SQL注入。攻击者可能远程利用此漏洞。该漏洞已被公开并可能被利用。
影响范围：
参考链接： https://www.oscs1024.com/hd/MPS-nsu8-rmyx
CVE-2025-13589漏洞
漏洞评级： 中危，5.1
修复建议： 可选修复
POC情况： 暂无POC
漏洞描述： 由Otsuka信息技术开发的FMS存在一个反射型跨站脚本漏洞，允许未经身份验证的远程攻击者通过钓鱼攻击在用户浏览器中执行任意JavaScript代码。
影响范围：
参考链接： https://www.oscs1024.com/hd/MPS-ampg-2cuh
CVE-2025-7402漏洞
漏洞评级： 高危，7.5
修复建议： 建议修复
POC情况： 暂无POC
漏洞描述： Ads Pro Plugin（WordPress多功能广告管理器插件）在版本4.95及以下的所有版本中，由于用户提供的参数缺乏足够的转义处理以及现有SQL查询缺乏足够的预处理，存在基于时间的SQL注入漏洞。该漏洞发生在“site_id”参数上，未经身份验证的攻击者可以在已有的查询中附加额外的SQL查询，从而提取数据库中的敏感信息。
影响范围： Ads Pro Plugin - Multi-Purpose WordPress Advertising Manager，(-∞,4.95]
参考链接： https://www.oscs1024.com/hd/MPS-azhv-pmc5
CVE-2025-13584漏洞
漏洞评级： 中危，5.1
修复建议： 可选修复
POC情况： 暂无POC
漏洞描述： 已检测到Eigenfocus版本至1.4.0存在一个安全漏洞。该漏洞影响组件Description Handler中的未知代码。操纵参数entry.description/time_entry.description会导致跨站脚本攻击。攻击可能远程执行。该漏洞已被公开披露并可能被利用。升级到版本1.4.1可以解决此问题。补丁的标识符是7dec94c9d1f3e513e0ee38ba68caaba628e08582。建议升级受影响的组件。
影响范围：
参考链接： https://www.oscs1024.com/hd/MPS-4u0o-31ge
CVE-2025-13583漏洞
漏洞评级： 中危，6.9
修复建议： 可选修复
POC情况： 暂无POC
漏洞描述： 在代码项目问题试卷生成器 1.0 中发现了一个漏洞。这会影响组件 POST 参数处理器中的未知文件部分 /signupscript.php。执行参数 Fname 的操纵可能导致 SQL 注入。攻击可以远程执行。漏洞已经向公众公开并可能被利用。
影响范围：
参考链接： https://www.oscs1024.com/hd/MPS-fmr4-jvqt
CVE-2025-12629漏洞
漏洞评级： 高危，7.1
修复建议： 建议修复
POC情况： 暂无POC
漏洞描述： WordPress插件Broken Link Manager的0.6.5版本之前存在一个反射跨站脚本漏洞（Reflected Cross-Site Scripting）。该插件在处理一个参数时未对其进行清理和转义处理，导致在输出页面时存在安全风险。这一漏洞可能被高权限用户（如管理员）利用。
影响范围： Broken Link Manager，(0,0.6.5]
参考链接： https://www.oscs1024.com/hd/MPS-rvut-295h
CVE-2025-13585漏洞
漏洞评级： 中危，6.9
修复建议： 可选修复
POC情况： 暂无POC
漏洞描述： 在代码项目的新冠追踪系统 1.0 中发现了一个漏洞。这个问题影响了未知的文件 /login.php 的处理过程。操纵参数代码会导致 SQL 注入。攻击可能来自远程。该漏洞现已公开且可能被利用。
影响范围：
参考链接： https://www.oscs1024.com/hd/MPS-wz2e-jo91
CVE-2024-14015漏洞
漏洞评级： 高危，7.1
修复建议： 建议修复
POC情况： 暂无POC
漏洞描述： WordPress电子商务插件（WordPress plugin through 2.9.0）在处理一个参数时未对其进行清理和转义处理，在输出到页面时可能导致反射型跨站脚本攻击（Reflected Cross-Site Scripting）。这种攻击可能被用于针对拥有高权限的用户，如管理员。
影响范围： WordPress eCommerce Plugin，(0,2.9.0]
参考链接： https://www.oscs1024.com/hd/MPS-bzag-qot4
CVE-2025-12394漏洞
漏洞评级： 中危，5.9
修复建议： 可选修复
POC情况： 暂无POC
漏洞描述： 在低于 2.0.0 版本的 Backup Migration WordPress 插件中，在某些服务器配置下，其备份路径的生成并不正确。这可能导致未经验证的用户获取揭示备份文件名的日志。因此，备份档案可以在未经身份验证的情况下进行下载。
影响范围： Backup Migration，(0,2.0.0)
参考链接： https://www.oscs1024.com/hd/MPS-t415-krgp
CVE-2025-13588漏洞
漏洞评级： 中危，5.3
修复建议： 可选修复
POC情况： 暂无POC
漏洞描述： 在lKinderBueno Streamity Xtream IPTV Player的2.8版本中发现了一个漏洞。受影响的是public/proxy.php文件中的未知功能。对其进行操作会导致服务器端请求伪造。攻击可以远程发起。该漏洞已经公开并且可能被利用。升级到版本2.8.1可以解决此问题。补丁的名称为c70bfb8d36b47bfd64c5ec73917e1d9ddb97af92。建议升级受影响的组件。
影响范围：
参考链接： https://www.oscs1024.com/hd/MPS-x20c-gmyr
CVE-2025-13586漏洞
漏洞评级： 中危，5.1
修复建议： 可选修复
POC情况： 暂无POC
漏洞描述： 在SourceCodester在线学生清仓系统1.0中发现了一个漏洞。受影响的是文件/Admin/changepassword.php的一个未知功能。对参数txtconfirm_password进行操纵会导致SQL注入。攻击者可以远程发起攻击。漏洞已被公开并可能被利用。
影响范围：
参考链接： https://www.oscs1024.com/hd/MPS-cdfn-042t
CVE-2025-13596漏洞
漏洞评级： 低危，2.7
修复建议： 可选修复
POC情况： 暂无POC
漏洞描述： ATISoluciones CIGES应用程序版本2.15.6及更早版本中存在敏感信息泄露漏洞。当某些意外条件触发未处理的异常时，应用程序会向客户端返回详细的错误消息和堆栈跟踪。这可能会暴露内部文件系统路径、SQL查询、数据库连接详细信息或环境配置数据给远程未经身份验证的攻击者。这个问题允许信息收集和网络侦察，但不会直接导致系统被破坏。
影响范围： CIGES，(2.15.0,2.15.6)
参考链接： https://www.oscs1024.com/hd/MPS-sejt-d5wh
CVE-2025-12739漏洞
漏洞评级： 高危，7.3
修复建议： 建议修复
POC情况： 暂无POC
漏洞描述： Looker中的拥有查看权限的攻击者可以构造一个恶意URL，当Looker管理员打开该URL时，会执行攻击者提供的脚本。利用该漏洞需要在实例上安装至少一个Looker扩展。发现Looker托管和自托管版本均存在漏洞。对于Looker托管实例，这个问题已经得到了缓解。用户无需采取任何行动。自托管实例必须尽快升级。此漏洞已在所有受支持版本的自托管中进行了修补。以下版本已更新以保护免受该漏洞的影响。您可以在Looker下载页面 https://download.looker.com/ 下载这些版本：* 24.18.201+* 25.0.79+* 25.6.66+* 25.12.7+* 25.16.0+* 25.18.0+* 25.20.0+ 的用户需要尽快升级到这些最新版本，以保护其系统免受该漏洞的影响。
影响范围：
参考链接： https://www.oscs1024.com/hd/MPS-7fp2-56k9
CVE-2025-41087漏洞
漏洞评级： 中危，5.1
修复建议： 可选修复
POC情况： 暂无POC
漏洞描述： 塔克利亚（Taclia）Web应用程序中存在跨站脚本（Cross-Site Scripting，简称XSS）漏洞，该漏洞存在于上传的SVG图像没有被适当净化的情况下。这使得攻击者能够在SVG文件中嵌入恶意脚本，例如图像配置文件，这些脚本随后会被存储在服务器上，并在任何用户访问受影响的资源时执行。
影响范围：
参考链接： https://www.oscs1024.com/hd/MPS-r5bx-zfi6
CVE-2025-41729漏洞
漏洞评级： 高危，7.5
修复建议： 建议修复
POC情况： 暂无POC
漏洞描述： 未经身份验证的远程攻击者可以发送专门设计的Modbus读取命令到设备，从而导致拒绝服务。
影响范围： UMG 96-PA，(0.0.0,3.54)
UMG 96-PA-MID+，(0.0.0,3.54)
参考链接： https://www.oscs1024.com/hd/MPS-5n7b-mjc9
CVE-2025-12741漏洞
漏洞评级： 高危，7.7
修复建议： 建议修复
POC情况： 暂无POC
漏洞描述： Looker的用户开发者角色能够通过使用Denodo驱动程序创建数据库连接，并通过操作LookML导致Looker执行恶意命令。经过检测，发现Looker托管和自助托管版本均存在漏洞。对于Looker托管实例，此问题已得到妥善处理，用户无需采取任何行动。自助托管实例必须尽快升级。此漏洞已在所有支持的自助托管版本中得到修复。以下版本已更新以保护免受这一漏洞的影响，您可以在Looker下载页面（https://download.looker.com/）下载这些版本：* 24.12.108+* 24.18.200+* 25.0.78+* 25.6.65+* 25.8.47+* 25.12.10+* 25.14+
影响范围：
参考链接： https://www.oscs1024.com/hd/MPS-p6wq-c5j9
CVE-2025-12740漏洞
漏洞评级： 高危，7.7
修复建议： 建议修复
POC情况： 暂无POC
漏洞描述： Looker的用户，拥有开发者角色，可以通过使用IBM DB2驱动创建数据库连接并操纵LookML来执行恶意命令，这是由于驱动参数过滤不足导致的。Looker托管和自托管版本均被发现存在此漏洞。对于Looker托管实例，这个问题已经得到了解决，用户无需采取任何行动。然而，自托管实例必须尽快升级。在所有受支持的自托管版本中，这一漏洞已经被修复。以下是已更新以保护免受这一漏洞影响的版本，您可以在Looker下载页面（https://download.looker.com/）下载这些版本：* 版本 25.0.93及以上* 版本 25.6.84及以上* 版本 25.12.42及以上* 版本 25.14.50及以上* 版本 25.16.44及以上。
影响范围：
参考链接： https://www.oscs1024.com/hd/MPS-oj9s-iauw
CVE-2025-41016漏洞
漏洞评级： 高危，8.7
修复建议： 建议修复
POC情况： 暂无POC
漏洞描述： Davantis DFUSION v6.177.7存在访问控制不足的安全漏洞，未经授权的实体可以通过访问“/alarms/<ALARM_ID>/”来提取与警报事件相关的图像和视频。其中，“MEDIA”参数可以取值为“snapshot”或“video.mp4”，这些媒体文件包含安全摄像头在触发警报时录制的图像。
影响范围：
参考链接： https://www.oscs1024.com/hd/MPS-tjfs-auhz
CVE-2025-41017漏洞
漏洞评级： 中危，6.9
修复建议： 可选修复
POC情况： 暂无POC
漏洞描述： Davantis DDFUSION v6.177.7存在访问控制不足的安全漏洞，未经授权的实体可以通过访问“/cameras/<CAMERA_ID>/perspective”获取安全摄像头的透视参数设置。
影响范围：
参考链接： https://www.oscs1024.com/hd/MPS-7qbf-o01g
CVE-2025-11921漏洞
漏洞评级： 严重，9.3
修复建议： 建议修复
POC情况： 暂无POC
漏洞描述： iStats存在一个不安全的XPC服务，允许本地无特权用户通过命令注入提升权限至root。这个问题影响iStats版本：7.10.4。
影响范围： istats，影响所有版本
参考链接： https://www.oscs1024.com/hd/MPS-woys-x3hz
CVE-2025-65495漏洞
漏洞评级： 高危，7.5
修复建议： 建议修复
POC情况： 暂无POC
漏洞描述： 在OISM libcoap 4.3.5版本的src/coap_openssl.c文件中的tls_verify_call_back()存在整数符号错误，这使得远程攻击者能够通过精心制作的TLS证书导致i2d_X509()函数返回-1，并将其错误用作malloc()的大小参数，从而造成拒绝服务攻击。
影响范围：
参考链接： https://www.oscs1024.com/hd/MPS-km95-fiju
CVE-2025-65493漏洞
漏洞评级： 高危，7.5
修复建议： 建议修复
POC情况： 暂无POC
漏洞描述： 在OISM libcoap 4.3.5版本的src/coap_openssl.c文件中存在一个空指针引用漏洞，远程攻击者可以通过特定的DTLS/TLS连接来触发该漏洞，导致BIO_get_data()函数返回NULL值，从而造成拒绝服务攻击。
影响范围：
参考链接： https://www.oscs1024.com/hd/MPS-6klx-e5yi
CVE-2025-65494漏洞
漏洞评级： 高危，7.5
修复建议： 建议修复
POC情况： 暂无POC
漏洞描述： 在OISM libcoap 4.3.5版本的src/coap_openssl.c文件中的get_san_or_cn_from_cert()函数存在一个空指针引用漏洞。通过构造一个特殊的X.509证书，攻击者可以使sk_GENERAL_NAME_value()函数返回空指针，从而导致拒绝服务攻击。
影响范围：
参考链接： https://www.oscs1024.com/hd/MPS-tjui-5kxy
商业软件漏洞预警
CampCodes Online Polling System SQL注入漏洞
漏洞评级： 中危，6.9
修复建议： 可选修复
POC情况： 暂无POC
漏洞描述： CampCodes Online Polling System是菲律宾CampCodes公司的一个在线投票系统。
CampCodes Online Polling System 1.0版本存在SQL注入漏洞，该漏洞源于文件/admin/checklogin.php中参数myusername的错误操作，可能导致SQL注入。
影响范围：
参考链接： https://www.oscs1024.com/hd/MPS-yapi-xrcj
Campcodes School File Management System SQL注入漏洞
漏洞评级： 中危，6.9
修复建议： 可选修复
POC情况： 暂无POC
漏洞描述： CampCodes School File Management System是菲律宾CampCodes公司的一个学校档案管理系统。
Campcodes School File Management System 1.0版本存在SQL注入漏洞，该漏洞源于文件/index.php中参数stud_no的错误操作，可能导致SQL注入。
影响范围：
参考链接： https://www.oscs1024.com/hd/MPS-e2lg-sbw6
SourceCodester Company Website CMS SQL注入漏洞
漏洞评级： 中危，6.9
修复建议： 可选修复
POC情况： 暂无POC
漏洞描述： SourceCodester Company Website CMS是SourceCodester开源的一个内容管理系统。
SourceCodester Company Website CMS 1.0版本存在SQL注入漏洞，该漏洞源于文件/admin/reset-password.php中参数email的错误操作，可能导致SQL注入。
影响范围：
参考链接： https://www.oscs1024.com/hd/MPS-mgoc-l3i0
AMD Zynq UltraScale+ 安全漏洞
漏洞评级： 高危，8.6
修复建议： 建议修复
POC情况： 存在POC
漏洞描述： AMD Zynq UltraScale+是美国超威半导体（AMD）公司的一款多处理器系统芯片。
AMD Zynq UltraScale+存在安全漏洞，该漏洞源于未使用调用处理器的安全状态，可能导致非安全处理器访问安全内存或加密操作。
影响范围：
参考链接： https://www.oscs1024.com/hd/MPS-a6fo-kwt4
Campcodes Online Polling System SQL注入漏洞
漏洞评级： 中危，6.9
修复建议： 可选修复
POC情况： 暂无POC
漏洞描述： CampCodes Online Polling System是菲律宾CampCodes公司的一个在线投票系统。
Campcodes Online Polling System 1.0版本存在SQL注入漏洞，该漏洞源于文件/registeracc.php中参数email的错误操作，可能导致SQL注入。
影响范围：
参考链接： https://www.oscs1024.com/hd/MPS-ikn6-xda3
AMD StoreMI 安全漏洞
漏洞评级： 高危，7.3
修复建议： 建议修复
POC情况： 暂无POC
漏洞描述： AMD StoreMI是美国超威半导体（AMD）公司的一个存储加速技术。
AMD StoreMI存在安全漏洞，该漏洞源于默认权限配置不当，可能导致权限提升和执行任意代码。
影响范围： AMD StoreMI™，(NofixplannedEOL),+∞)
参考链接： https://www.oscs1024.com/hd/MPS-pz90-tlru
AMD StoreMI 安全漏洞
漏洞评级： 高危，7.3
修复建议： 建议修复
POC情况： 暂无POC
漏洞描述： AMD StoreMI是美国超威半导体（AMD）公司的一个存储加速技术。
AMD StoreMI存在安全漏洞，该漏洞源于DLL劫持，可能导致权限提升和执行任意代码。
影响范围： AMD StoreMI™，(NofixplannedEOL),+∞)
参考链接： https://www.oscs1024.com/hd/MPS-754f-j6s1
AMD Versal Adaptive SoC 安全漏洞
漏洞评级： 低危，1
修复建议： 可选修复
POC情况： 暂无POC
漏洞描述： AMD Versal Adaptive SoC是美国超威半导体（AMD）公司的一款芯片。
AMD Versal Adaptive SoC存在安全漏洞，该漏洞源于PSCI命令的安全标志设置不当，可能导致非安全状态的请求被误认为来自安全状态。
影响范围：
参考链接： https://www.oscs1024.com/hd/MPS-u7ix-nt9r
D-Link DIR-852 命令注入漏洞
漏洞评级： 中危，6.9
修复建议： 可选修复
POC情况： 暂无POC
漏洞描述： D-Link DIR-852是中国友讯（D-Link）公司的一款路由器。
D-Link DIR-852 1.00版本存在命令注入漏洞，该漏洞源于文件/gena.cgi中参数service的错误操作，可能导致命令注入攻击。
影响范围：
参考链接： https://www.oscs1024.com/hd/MPS-xqep-rtnv
SourceCodester Company Website CMS SQL注入漏洞
漏洞评级： 中危，6.9
修复建议： 可选修复
POC情况： 暂无POC
漏洞描述： SourceCodester Company Website CMS是SourceCodester开源的一个内容管理系统。
SourceCodester Company Website CMS 1.0版本存在SQL注入漏洞，该漏洞源于文件/admin/index.php中参数Username的错误操作，可能导致SQL注入。
影响范围：
参考链接： https://www.oscs1024.com/hd/MPS-uweg-4cbq
Projectworlds Advanced Library Management System 代码问题漏洞
漏洞评级： 中危，5.3
修复建议： 可选修复
POC情况： 暂无POC
漏洞描述： Projectworlds Advanced Library Management System是印度Projectworlds公司的一个先进的图书馆管理系统。
Projectworlds Advanced Library Management System 1.0及之前版本存在代码问题漏洞，该漏洞源于文件/add_book.php中参数image的错误操作，可能导致无限制上传。
影响范围：
参考链接： https://www.oscs1024.com/hd/MPS-z51w-9dj3
Code-Projects Online Bidding System 代码问题漏洞
漏洞评级： 中危，5.1
修复建议： 可选修复
POC情况： 暂无POC
漏洞描述： Code-Projects Online Bidding System是Code-Projects开源的一个在线竞价系统。
Code-Projects Online Bidding System 1.0版本存在代码问题漏洞，该漏洞源于文件/administrator/addcategory.php中函数categoryadd对参数catimage的错误操作，可能导致无限制上传。
影响范围：
参考链接： https://www.oscs1024.com/hd/MPS-dj17-v2rc
Projectworlds Advanced Library Management System SQL注入漏洞
漏洞评级： 中危，6.9
修复建议： 可选修复
POC情况： 暂无POC
漏洞描述： Projectworlds Advanced Library Management System是印度Projectworlds公司的一个先进的图书馆管理系统。
Projectworlds Advanced Library Management System 1.0版本存在SQL注入漏洞，该漏洞源于文件/delete_admin.php中参数admin_id的错误操作，可能导致SQL注入攻击。
影响范围：
参考链接： https://www.oscs1024.com/hd/MPS-wo4l-2jvt
Code-Projects Simple Food Ordering System SQL注入漏洞
漏洞评级： 中危，5.3
修复建议： 可选修复
POC情况： 暂无POC
漏洞描述： Code-Projects Simple Food Ordering System是Code-Projects开源的一个简单的食品订购系统。
Code-Projects Simple Food Ordering System 1.0版本存在SQL注入漏洞，该漏洞源于文件/listorder.php中未知函数对参数ID的错误操作，可能导致SQL注入攻击。
影响范围：
参考链接： https://www.oscs1024.com/hd/MPS-nw2h-colf
itsourcecode COVID Tracking System SQL注入漏洞
漏洞评级： 中危，5.3
修复建议： 可选修复
POC情况： 暂无POC
漏洞描述： itsourcecode COVID Tracking System是itsourcecode开源的一个新冠肺炎追踪系统。
itsourcecode COVID Tracking System 1.0版本存在SQL注入漏洞，该漏洞源于文件/admin/?page=state中未知函数对参数ID的错误操作，可能导致SQL注入攻击。
影响范围：
参考链接： https://www.oscs1024.com/hd/MPS-37q8-h2rt
itsourcecode COVID Tracking System SQL注入漏洞
漏洞评级： 中危，5.3
修复建议： 可选修复
POC情况： 暂无POC
漏洞描述： itsourcecode COVID Tracking System是itsourcecode开源的一个新冠肺炎追踪系统。
itsourcecode COVID Tracking System 1.0版本存在SQL注入漏洞，该漏洞源于文件/admin/?page=people中未知函数对参数ID的错误操作，可能导致SQL注入攻击。
影响范围：
参考链接： https://www.oscs1024.com/hd/MPS-quvt-3x0o
itsourcecode COVID Tracking System SQL注入漏洞
漏洞评级： 中危，5.3
修复建议： 可选修复
POC情况： 暂无POC
漏洞描述： itsourcecode COVID Tracking System是itsourcecode开源的一个新冠肺炎追踪系统。
itsourcecode COVID Tracking System 1.0版本存在SQL注入漏洞，该漏洞源于文件/admin/?page=city中未知函数对参数ID的错误操作，可能导致SQL注入攻击。
影响范围：
参考链接： https://www.oscs1024.com/hd/MPS-pxu3-6mav
供应链投毒预警
WordPress plugin WP Shortcodes Plugin — Shortcodes Ultimate 代码问题漏洞
漏洞描述： WordPress和WordPress plugin都是WordPress基金会的产品。WordPress是一套使用PHP语言开发的博客平台。该平台具有在基于PHP和MySQL的服务器上架设个人博客网站的功能。WordPress plugin是一个应用插件。
WordPress plugin WP Shortcodes Plugin — Shortcodes Ultimate 7.4.5及之前版本存在代码问题漏洞，该漏洞源于su_shortcode_csv_table函数存在缺陷，可能导致服务端请求伪造攻击。
影响范围： WP Shortcodes Plugin — Shortcodes Ultimate，(-∞,7.4.5]
参考链接： https://www.oscs1024.com/hd/MPS-g21i-fb6v
PyPI仓库 mzip 等组件内嵌木马
漏洞描述： 当用户安装受影响版本的 mzip 等Python组件包时会下载并执行恶意木马 svchost.exe，攻击者可窃取主机信息并对用户主机进行远控。
影响范围： mzip，[0.1.0,0.1.0]
uuzip，[0.1.0,0.1.3]
uzip，[0.1.0,0.1.1]
参考链接： https://www.oscs1024.com/hd/MPS-2zw1-skyq
PyPI仓库 hexdecnet 组件窃取用户私钥
漏洞描述： 当用户安装受影响版本的 hexdecnet Python组件包时会向将用户传入的私钥发送到攻击者可控的服务器地址。
影响范围： hexdecnet，[0.0.1,0.0.1]
参考链接： https://www.oscs1024.com/hd/MPS-ortn-4z9h
PyPI仓库 aiogram-msgeffect 组件窃取 Telegram 信息
漏洞描述： 当用户安装受影响版本的 aiogram-msgeffect Python组件包时会窃取用户的 Telegram 的会话数据并发送到攻击者可控的 Telegram 地址。
影响范围： aiogram-msgeffect，[1.1.4,1.2.1]
参考链接： https://www.oscs1024.com/hd/MPS-i2r8-gksv
NPM组件 tailwind-justify 等窃取主机敏感信息
漏洞描述： 当用户安装受影响版本的 tailwind-justify 等NPM组件包时会窃取用户的主机名、用户名、IP地址等信息并发送到攻击者可控的服务器地址。
影响范围： cbre-flow-common，[90.0.0,90.0.0]、[99.2.0,99.2.0]、[99.3.0,99.3.0]、[99.4.0,99.4.0]、[99.5.0,99.5.0]、[99.6.0,99.6.0]
com.unity.xr.visionos，[1.0.0,2.3.2]
downloader-nzx，[1.0.0,1.0.1]
tailwind-justify，[0.2.5,0.2.5]
参考链接： https://www.oscs1024.com/hd/MPS-jgq7-cyeb
PyPI仓库 tgeffect 组件窃取 Telegram 信息
漏洞描述： 当用户安装受影响版本的 tgeffect Python组件包时会窃取用户的 Telegram 的会话数据并发送到攻击者可控的 Telegram 地址。
影响范围： tgeffect，[1.1.0,1.4.4]
voicemetterr，[1.0.4,1.0.4]、[1.0.5,1.0.5]、[1.0.0,1.0.3]
参考链接： https://www.oscs1024.com/hd/MPS-wra7-5tnd
Auto-Sklearn 日志反序列化远程代码执行漏洞
漏洞描述： Auto-Sklearn 是开源的自动化机器学习框架，用于在结构化数据上自动搜索特征工程与模型组合。框架内置远程日志收集功能，可通过 TCP 接收来自工作进程的日志消息。
受影响版本中，日志组件 autosklearn/util/logging_.py 的 LogRecordStreamHandler.unPickle() 使用 pickle.loads() 直接反序列化来自 TCP 连接的用户可控字节流，未对反序列化类型做任何约束。攻击者只需与日志服务建立 TCP 连接，即可发送带有危险 reduce 方法的恶意 pickle 对象，在服务端触发任意代码执行。
影响范围： auto-sklearn，(-∞,0.15.0]
参考链接： https://www.oscs1024.com/hd/MPS-e7yu-bhdk
NPM组件 utilitas 等窃取主机敏感信息
漏洞描述： 当用户安装受影响版本的 utilitas 等NPM组件包时会窃取用户的主机名、用户名、公网 IP等信息并发送到攻击者可控的服务器地址。
影响范围： utilitas，[2000.3.4,2000.3.4]、[2000.3.5,2000.3.5]、[2000.3.10,2000.3.10]
参考链接： https://www.oscs1024.com/hd/MPS-trc4-fg7s
NPM仓库SHA1HULUD蠕虫投毒事件
漏洞描述： 当用户安装受影响版本的 @asyncapi/specs 等NPM组件包时会执行 bun_environment.js 混淆代码中的恶意代码，该代码在执行时会下载并运行 TruffleHog 对本机进行扫描，窃取其中的 NPM Token、AWS/GCP/Azure 凭据以及环境变量等敏感信息，如果既未获取到有效的 Git Token，又未获取到有效的 NPM Token 时会触发删除磁盘文件的破坏性操作。
影响范围： @actbase/css-to-react-native-transform，[1.0.3,1.0.3]
@actbase/node-server，[1.1.19,1.1.19]
@actbase/react-absolute，[0.8.3,0.8.3]
@actbase/react-daum-postcode，[1.0.5,1.0.5]
@actbase/react-kakaosdk，[0.9.27,0.9.27]
@actbase/react-native-actionsheet，[1.0.3,1.0.3]
@actbase/react-native-devtools，[0.1.3,0.1.3]
@actbase/react-native-fast-image，[8.5.13,8.5.13]
@actbase/react-native-kakao-channel，[1.0.2,1.0.2]
@actbase/react-native-kakao-navi，[2.0.4,2.0.4]
@actbase/react-native-less-transformer，[1.0.6,1.0.6]
@actbase/react-native-naver-login，[1.0.1,1.0.1]
@actbase/react-native-simple-video，[1.0.13,1.0.13]
@actbase/react-native-tiktok，[1.1.3,1.1.3]
@aryanhussain/my-angular-lib，[0.0.23,0.0.23]
@asyncapi/avro-schema-parser，[3.0.26,3.0.26]、[3.0.25,3.0.25]
@asyncapi/bundler，[0.6.6,0.6.6]、[0.6.5,0.6.5]
@asyncapi/cli，[4.1.2,4.1.2]
@asyncapi/converter，[1.6.3,1.6.3]
@asyncapi/diff，[0.5.2,0.5.2]、[0.5.1,0.5.1]
@asyncapi/dotnet-rabbitmq-template，[1.0.1,1.0.1]、[1.0.2,1.0.2]
@asyncapi/edavisualiser，[1.2.1,1.2.1]、[1.2.2,1.2.2]
@asyncapi/generator，[2.8.5,2.8.5]
@asyncapi/generator-components，[0.3.2,0.3.2]
@asyncapi/generator-helpers，[0.2.1,0.2.1]、[0.2.2,0.2.2]
@asyncapi/generator-react-sdk，[1.1.4,1.1.4]、[1.1.5,1.1.5]
@asyncapi/go-watermill-template，[0.2.77,0.2.77]、[0.2.76,0.2.76]
@asyncapi/html-template，[3.3.3,3.3.3]、[3.3.2,3.3.2]
@asyncapi/java-spring-cloud-stream-template，[0.13.6,0.13.6]、[0.13.5,0.13.5]
@asyncapi/java-spring-template，[1.6.2,1.6.2]、[1.6.1,1.6.1]
@asyncapi/java-template，[0.3.6,0.3.6]、[0.3.5,0.3.5]
@asyncapi/keeper，[0.0.3,0.0.3]、[0.0.2,0.0.2]
@asyncapi/markdown-template，[1.6.8,1.6.8]、[1.6.9,1.6.9]
@asyncapi/modelina，[5.10.2,5.10.2]、[5.10.3,5.10.3]
@asyncapi/modelina-cli，[5.10.2,5.10.2]、[5.10.3,5.10.3]
@asyncapi/multi-parser，[2.2.1,2.2.1]、[2.2.2,2.2.2]
@asyncapi/nodejs-template，[3.0.5,3.0.5]
@asyncapi/nodejs-ws-template，[0.10.1,0.10.1]、[0.10.2,0.10.2]
@asyncapi/nunjucks-filters，[2.1.2,2.1.2]、[2.1.1,2.1.1]
@asyncapi/openapi-schema-parser，[3.0.25,3.0.25]
@asyncapi/optimizer，[1.0.6,1.0.6]、[1.0.5,1.0.5]
@asyncapi/parser，[3.4.2,3.4.2]、[3.4.1,3.4.1]
@asyncapi/php-template，[0.1.1,0.1.1]
@asyncapi/problem，[1.0.2,1.0.2]、[1.0.1,1.0.1]
@asyncapi/protobuf-schema-parser，[3.5.3,3.5.3]、[3.6.1,3.6.1]
@asyncapi/python-paho-template，[0.2.15,0.2.15]、[0.2.14,0.2.14]
@asyncapi/react-component，[2.6.6,2.6.6]
@asyncapi/server-api，[0.16.25,0.16.25]
@asyncapi/specs，[6.8.2,6.8.2]、[6.10.1,6.10.1]、[6.8.3,6.8.3]、[6.9.1,6.9.1]
@asyncapi/web-component，[2.6.6,2.6.6]、[2.6.7,2.6.7]
@ensdomains/address-encoder，[1.1.5,1.1.5]
@ensdomains/blacklist，[1.0.1,1.0.1]
@ensdomains/buffer，[0.1.2,0.1.2]
@ensdomains/ccip-read-dns-gateway，[0.1.1,0.1.1]
@ensdomains/ccip-read-router，[0.0.7,0.0.7]
@ensdomains/ccip-read-worker-viem，[0.0.4,0.0.4]
@ensdomains/content-hash，[3.0.1,3.0.1]
@ensdomains/curvearithmetics，[1.0.1,1.0.1]
@ensdomains/cypress-metamask，[1.2.1,1.2.1]
@ensdomains/dnsprovejs，[0.5.3,0.5.3]
@ensdomains/dnssec-oracle-anchors，[0.0.2,0.0.2]
@ensdomains/dnssecoraclejs，[0.2.9,0.2.9]
@ensdomains/durin-middleware，[0.0.2,0.0.2]
@ensdomains/ens-archived-contracts，[0.0.3,0.0.3]
@ensdomains/ens-avatar，[1.0.4,1.0.4]
@ensdomains/ens-validation，[0.1.1,0.1.1]
@ensdomains/eth-ens-namehash，[2.0.16,2.0.16]
@ensdomains/hackathon-registrar，[1.0.5,1.0.5]
@ensdomains/hardhat-chai-matchers-viem，[0.1.15,0.1.15]
@ensdomains/hardhat-toolbox-viem-extended，[0.0.6,0.0.6]
@ensdomains/mock，[2.1.52,2.1.52]
@ensdomains/name-wrapper，[1.0.1,1.0.1]
@ensdomains/offchain-resolver-contracts，[0.2.2,0.2.2]
@ensdomains/react-ens-address，[0.0.32,0.0.32]
@ensdomains/renewal，[0.0.13,0.0.13]
@ensdomains/renewal-widget，[0.1.10,0.1.10]
@ensdomains/reverse-records，[1.0.1,1.0.1]
@ensdomains/server-analytics，[0.0.2,0.0.2]
@ensdomains/solsha1，[0.0.4,0.0.4]
@ensdomains/subdomain-registrar，[0.2.4,0.2.4]
@ensdomains/test-utils，[1.3.1,1.3.1]
@ensdomains/thorin，[0.6.51,0.6.51]
@ensdomains/ui，[3.4.6,3.4.6]
@ensdomains/unicode-confusables，[0.1.1,0.1.1]
@ensdomains/unruggable-gateways，[0.0.3,0.0.3]
@ensdomains/vite-plugin-i18next-loader，[4.0.4,4.0.4]
@ensdomains/web3modal，[1.10.2,1.10.2]
@kvytech/cli，[0.0.7,0.0.7]
@kvytech/components，[0.0.2,0.0.2]
@kvytech/medusa-plugin-announcement，[0.0.8,0.0.8]
@kvytech/medusa-plugin-management，[0.0.5,0.0.5]
@kvytech/medusa-plugin-newsletter，[0.0.5,0.0.5]
@kvytech/medusa-plugin-product-reviews，[0.0.9,0.0.9]
@kvytech/web，[0.0.2,0.0.2]
@markvivanco/app-version-checker，[1.0.1,1.0.1]、[1.0.2,1.0.2]
@posthog/agent，[1.24.1,1.24.1]
@posthog/ai，[7.1.2,7.1.2]
@posthog/automatic-cohorts-plugin，[0.0.8,0.0.8]
@posthog/cli，[0.5.15,0.5.15]
@posthog/core，[1.5.6,1.5.6]
@posthog/currency-normalization-plugin，[0.0.8,0.0.8]
@posthog/customerio-plugin，[0.0.8,0.0.8]
@posthog/databricks-plugin，[0.0.8,0.0.8]
@posthog/event-sequence-timer-plugin，[0.0.8,0.0.8]
@posthog/first-time-event-tracker，[0.0.8,0.0.8]
@posthog/geoip-plugin，[0.0.8,0.0.8]
@posthog/github-release-tracking-plugin，[0.0.8,0.0.8]
@posthog/gitub-star-sync-plugin，[0.0.8,0.0.8]
@posthog/hedgehog-mode，[0.0.42,0.0.42]
@posthog/ingestion-alert-plugin，[0.0.8,0.0.8]
@posthog/kinesis-plugin，[0.0.8,0.0.8]
@posthog/maxmind-plugin，[0.1.6,0.1.6]
@posthog/nextjs，[0.0.3,0.0.3]
@posthog/nextjs-config，[1.5.1,1.5.1]
@posthog/nuxt，[1.2.9,1.2.9]
@posthog/pagerduty-plugin，[0.0.8,0.0.8]
@posthog/piscina，[3.2.1,3.2.1]
@posthog/plugin-contrib，[0.0.6,0.0.6]
@posthog/plugin-unduplicates，[0.0.8,0.0.8]
@posthog/react-rrweb-player，[1.1.4,1.1.4]
@posthog/rrdom，[0.0.31,0.0.31]
@posthog/rrweb，[0.0.31,0.0.31]
@posthog/rrweb-player，[0.0.31,0.0.31]
@posthog/rrweb-record，[0.0.31,0.0.31]
@posthog/rrweb-snapshot，[0.0.31,0.0.31]
@posthog/rrweb-utils，[0.0.31,0.0.31]
@posthog/sendgrid-plugin，[0.0.8,0.0.8]
@posthog/siphash，[1.1.2,1.1.2]
@posthog/snowflake-export-plugin，[0.0.8,0.0.8]
@posthog/taxonomy-plugin，[0.0.8,0.0.8]
@posthog/twilio-plugin，[0.0.8,0.0.8]
@posthog/twitter-followers-plugin，[0.0.8,0.0.8]
@posthog/url-normalizer-plugin，[0.0.8,0.0.8]
@posthog/variance-plugin，[0.0.8,0.0.8]
@posthog/web-dev-server，[1.0.5,1.0.5]
@posthog/wizard，[1.18.1,1.18.1]
@postman/aether-icons，[2.23.4,2.23.4]、[2.23.2,2.23.2]
@postman/csv-parse，[4.0.4,4.0.4]、[4.0.5,4.0.5]、[4.0.3,4.0.3]
@postman/final-node-keytar，[7.9.2,7.9.2]、[7.9.1,7.9.1]
@postman/mcp-ui-client，[5.5.2,5.5.2]、[5.5.1,5.5.1]
@postman/node-keytar，[7.9.5,7.9.5]、[7.9.6,7.9.6]、[7.9.4,7.9.4]
@postman/pm-bin-linux-x64，[1.24.3,1.24.3]、[1.24.4,1.24.4]、[1.24.5,1.24.5]
@postman/pm-bin-macos-arm64，[1.24.4,1.24.4]、[1.24.3,1.24.3]、[1.24.5,1.24.5]
@postman/pm-bin-macos-x64，[1.24.5,1.24.5]、[1.24.3,1.24.3]
@postman/pm-bin-windows-x64，[1.24.5,1.24.5]、[1.24.4,1.24.4]
@postman/postman-collection-fork，[4.3.3,4.3.3]、[4.3.4,4.3.4]、[4.3.5,4.3.5]
@postman/postman-mcp-cli，[1.0.5,1.0.5]、[1.0.4,1.0.4]
@postman/postman-mcp-server，[2.4.10,2.4.10]、[2.4.11,2.4.11]
@postman/pretty-ms，[6.1.1,6.1.1]、[6.1.2,6.1.2]、[6.1.3,6.1.3]
@postman/secret-scanner-wasm，[2.1.3,2.1.3]、[2.1.4,2.1.4]、[2.1.2,2.1.2]
@postman/tunnel-agent，[0.6.5,0.6.5]、[0.6.6,0.6.6]
@postman/wdio-allure-reporter，[0.0.9,0.0.9]
@postman/wdio-junit-reporter，[0.0.6,0.0.6]、[0.0.4,0.0.4]
@quick-start-soft/quick-document-translator，[1.4.2511142126,1.4.2511142126]
@quick-start-soft/quick-git-clean-markdown，[1.4.2511142126,1.4.2511142126]
@quick-start-soft/quick-markdown，[1.4.2511142126,1.4.2511142126]
@quick-start-soft/quick-markdown-compose，[1.4.2506300029,1.4.2506300029]
@quick-start-soft/quick-markdown-image，[1.4.2511142126,1.4.2511142126]
@quick-start-soft/quick-task-refine，[1.4.2511142126,1.4.2511142126]
@seung-ju/next，[0.0.2,0.0.2]
@seung-ju/openapi-generator，[0.0.4,0.0.4]
@seung-ju/react-hooks，[0.0.2,0.0.2]
@seung-ju/react-native-action-sheet，[0.2.1,0.2.1]
@strapbuild/react-native-date-time-picker，[2.0.4,2.0.4]
@strapbuild/react-native-perspective-image-cropper，[0.4.15,0.4.15]
@strapbuild/react-native-perspective-image-cropper-2，[0.4.7,0.4.7]
@strapbuild/react-native-perspective-image-cropper-poojan31，[0.4.6,0.4.6]
@zapier/ai-actions，[0.1.19,0.1.19]、[0.1.18,0.1.18]、[0.1.20,0.1.20]
@zapier/ai-actions-react，[0.1.13,0.1.13]、[0.1.14,0.1.14]
@zapier/babel-preset-zapier，[6.4.1,6.4.1]、[6.4.3,6.4.3]
@zapier/browserslist-config-zapier，[1.0.3,1.0.3]、[1.0.5,1.0.5]
@zapier/eslint-plugin-zapier，[11.0.4,11.0.4]、[11.0.3,11.0.3]、[11.0.5,11.0.5]
@zapier/mcp-integration，[3.0.1,3.0.1]、[3.0.3,3.0.3]
@zapier/secret-scrubber，[1.1.4,1.1.4]、[1.1.3,1.1.3]、[1.1.5,1.1.5]
@zapier/spectral-api-ruleset，[1.9.1,1.9.1]、[1.9.2,1.9.2]、[1.9.3,1.9.3]
@zapier/stubtree，[0.1.3,0.1.3]
@zapier/zapier-sdk，[0.15.5,0.15.5]、[0.15.7,0.15.7]
asyncapi-preview，[1.0.1,1.0.1]、[1.0.2,1.0.2]
axios-builder，[1.2.1,1.2.1]
bytecode-checker-cli，[1.0.8,1.0.8]、[1.0.9,1.0.9]、[1.0.10,1.0.10]、[1.0.11,1.0.11]
calc-loan-interest，[1.0.4,1.0.4]
capacitor-plugin-apptrackingios，[0.0.21,0.0.21]
capacitor-plugin-purchase，[0.1.1,0.1.1]
capacitor-plugin-scgssigninwithgoogle，[0.0.5,0.0.5]
capacitor-purchase-history，[0.0.10,0.0.10]
capacitor-voice-recorder-wav，[6.0.3,6.0.3]
claude-token-updater，[1.0.3,1.0.3]
create-glee-app，[0.2.3,0.2.3]
create-hardhat3-app，[1.1.1,1.1.1]、[1.1.2,1.1.2]、[1.1.4,1.1.4]
crypto-addr-codec，[0.1.9,0.1.9]
discord-bot-server，[0.1.2,0.1.2]
dotnet-template，[0.0.4,0.0.4]
esbuild-plugin-eta，[0.1.1,0.1.1]
esbuild-plugin-httpfile，[0.4.1,0.4.1]
eslint-config-zeallat-base，[1.0.4,1.0.4]
ethereum-ens，[0.8.1,0.8.1]
evm-checkcode-cli，[1.0.13,1.0.13]、[1.0.12,1.0.12]、[1.0.14,1.0.14]、[1.0.15,1.0.15]
expo-audio-session，[0.2.1,0.2.1]
gate-evm-check-code2，[2.0.4,2.0.4]、[2.0.3,2.0.3]、[2.0.5,2.0.5]、[2.0.6,2.0.6]
gate-evm-tools-test，[1.0.5,1.0.5]、[1.0.6,1.0.6]、[1.0.7,1.0.7]、[1.0.8,1.0.8]
github-action-for-generator，[2.1.28,2.1.28]
go-template，[0.1.8,0.1.8]
iron-shield-miniapp，[0.0.2,0.0.2]
korea-administrative-area-geo-json-util，[1.0.7,1.0.7]
manual-billing-system-miniapp-api，[1.3.1,1.3.1]
medusa-plugin-announcement，[0.0.3,0.0.3]
medusa-plugin-momo，[0.0.68,0.0.68]
medusa-plugin-product-reviews-kvy，[0.0.4,0.0.4]
medusa-plugin-zalopay，[0.0.40,0.0.40]
n8n-nodes-tmdb，[0.5.1,0.5.1]
open2internet，[0.1.1,0.1.1]
poper-react-sdk，[0.1.2,0.1.2]
posthog-docusaurus，[2.0.6,2.0.6]
posthog-node，[4.18.1,4.18.1]、[5.13.3,5.13.3]、[5.11.3,5.11.3]
posthog-plugin-hello-world，[1.0.1,1.0.1]
posthog-react-native，[4.12.5,4.12.5]、[4.11.1,4.11.1]
posthog-react-native-session-replay，[1.2.2,1.2.2]
react-native-use-modal，[1.0.3,1.0.3]
react-native-worklet-functions，[3.3.3,3.3.3]
redux-router-kit，[1.2.3,1.2.3]、[1.2.2,1.2.2]、[1.2.4,1.2.4]
rollup-plugin-httpfile，[0.2.1,0.2.1]
scgs-capacitor-subscribe，[1.0.11,1.0.11]
scgsffcreator，[1.0.5,1.0.5]
shinhan-limit-scrap，[1.0.3,1.0.3]
vite-plugin-httpfile，[0.2.1,0.2.1]
web-types-lit，[0.1.1,0.1.1]
zapier-async-storage，[1.0.1,1.0.1]、[1.0.2,1.0.2]、[1.0.3,1.0.3]
zapier-platform-cli，[18.0.3,18.0.3]
zapier-platform-core，[18.0.2,18.0.2]、[18.0.3,18.0.3]
zapier-platform-legacy-scripting-runner，[4.0.3,4.0.3]、[4.0.4,4.0.4]
zapier-platform-schema，[18.0.2,18.0.2]
zapier-scripts，[7.8.3,7.8.3]、[7.8.4,7.8.4]
参考链接： https://www.oscs1024.com/hd/MPS-d3k4-cphb
NPM组件 @solar-angular/builder 等窃取主机敏感信息
漏洞描述： 当用户安装受影响版本的 @solar-angular/builder 等NPM组件包时会窃取用户的主机名、用户名、IP地址等信息并发送到攻击者可控的服务器地址。
影响范围： @solar-angular/builder，[1.0.0,19.3.0]
brokerbenchcli，[1.0.0,1.0.9]
vue3-transpiler，[1.0.0,1.0.0]
参考链接： https://www.oscs1024.com/hd/MPS-tkro-9vu8
NPM仓库SHA1HULUD蠕虫投毒事件
漏洞描述： NPM仓库中超过300个组件在数小时之内被投毒，当用户安装后会窃取主机中的 NPM Token、AWS/GCP/Azure 凭据以及环境变量等敏感信息，同时会通过创建名为SHA1HULUD的GitHub action runner实现信息窃取，与2025年9月的Shai-Hulud攻击事件可能为同一攻击者，当前受影响GitHub仓库超过2万个。
影响范围： @accordproject/concerto-analysis，[3.24.1,3.24.1]
@accordproject/template-engine，[2.7.2,2.7.2]
@actbase/css-to-react-native-transform，[1.0.3,1.0.3]
@actbase/react-absolute，[0.8.3,0.8.3]
@actbase/react-daum-postcode，[1.0.5,1.0.5]
@actbase/react-kakaosdk，[0.9.27,0.9.27]
@actbase/react-native-actionsheet，[1.0.3,1.0.3]
@actbase/react-native-devtools，[0.1.3,0.1.3]
@actbase/react-native-less-transformer，[1.0.6,1.0.6]
@actbase/react-native-naver-login，[1.0.1,1.0.1]
@actbase/react-native-simple-video，[1.0.13,1.0.13]
@actbase/react-native-tiktok，[1.1.3,1.1.3]
@alaan/s2s-auth，[2.0.3,2.0.3]
@alexcolls/nuxt-socket.io，[0.0.7,0.0.7]、[0.0.8,0.0.8]
@alexcolls/nuxt-ux，[0.6.1,0.6.1]、[0.6.2,0.6.2]
@aryanhussain/my-angular-lib，[0.0.23,0.0.23]
@asyncapi/avro-schema-parser，[3.0.25,3.0.25]、[3.0.26,3.0.26]
@asyncapi/bundler，[0.6.6,0.6.6]
@asyncapi/converter，[1.6.3,1.6.3]
@asyncapi/diff，[0.5.2,0.5.2]
@asyncapi/dotnet-rabbitmq-template，[1.0.1,1.0.1]
@asyncapi/edavisualiser，[1.2.2,1.2.2]、[1.2.1,1.2.1]
@asyncapi/generator，[2.8.5,2.8.5]
@asyncapi/generator-components，[0.3.2,0.3.2]
@asyncapi/generator-helpers，[0.2.1,0.2.1]、[0.2.2,0.2.2]
@asyncapi/generator-react-sdk，[1.1.4,1.1.4]、[1.1.5,1.1.5]
@asyncapi/go-watermill-template，[0.2.76,0.2.76]、[0.2.77,0.2.77]
@asyncapi/java-spring-cloud-stream-template，[0.13.5,0.13.5]、[0.13.6,0.13.6]
@asyncapi/java-spring-template，[1.6.2,1.6.2]、[1.6.1,1.6.1]
@asyncapi/java-template，[0.3.5,0.3.5]
@asyncapi/keeper，[0.0.3,0.0.3]、[0.0.2,0.0.2]
@asyncapi/markdown-template，[1.6.9,1.6.9]、[1.6.8,1.6.8]
@asyncapi/modelina，[5.10.2,5.10.2]、[5.10.3,5.10.3]
@asyncapi/modelina-cli，[5.10.2,5.10.2]
@asyncapi/multi-parser，[2.2.2,2.2.2]、[2.2.1,2.2.1]
@asyncapi/nodejs-ws-template，[0.10.2,0.10.2]、[0.10.1,0.10.1]
@asyncapi/nunjucks-filters，[2.1.1,2.1.1]
@asyncapi/openapi-schema-parser，[3.0.25,3.0.25]
@asyncapi/optimizer，[1.0.6,1.0.6]、[1.0.5,1.0.5]
@asyncapi/parser，[3.4.2,3.4.2]、[3.4.1,3.4.1]
@asyncapi/php-template，[0.1.1,0.1.1]
@asyncapi/problem，[1.0.1,1.0.1]
@asyncapi/protobuf-schema-parser，[3.5.3,3.5.3]、[3.6.1,3.6.1]
@asyncapi/python-paho-template，[0.2.14,0.2.14]、[0.2.15,0.2.15]
@asyncapi/react-component，[2.6.6,2.6.6]
@asyncapi/server-api，[0.16.25,0.16.25]
@asyncapi/specs，[6.10.1,6.10.1]、[6.9.1,6.9.1]
@asyncapi/web-component，[2.6.7,2.6.7]
@caretive/caret-cli，[0.0.2,0.0.2]
@clausehq/flows-step-httprequest，[0.1.14,0.1.14]
@clausehq/flows-step-jsontoxml，[0.1.14,0.1.14]
@clausehq/flows-step-sendgridemail，[0.1.14,0.1.14]
@commute/bloom，[1.0.3,1.0.3]
@commute/market-data，[1.0.2,1.0.2]
@commute/market-data-chartjs，[2.3.1,2.3.1]
@dev-blinq/blinqioclient，[1.0.21,1.0.21]
@dev-blinq/cucumber-js，[1.0.131,1.0.131]
@dev-blinq/cucumber_client，[1.0.738,1.0.738]、[1.0.739,1.0.739]、[1.0.1637-dev,1.0.1637-dev]
@dev-blinq/ui-systems，[1.0.93,1.0.93]
@ensdomains/blacklist，[1.0.1,1.0.1]
@ensdomains/buffer，[0.1.2,0.1.2]
@ensdomains/ccip-read-dns-gateway，[0.1.1,0.1.1]
@ensdomains/ccip-read-router，[0.0.7,0.0.7]
@ensdomains/ccip-read-worker-viem，[0.0.4,0.0.4]
@ensdomains/curvearithmetics，[1.0.1,1.0.1]
@ensdomains/cypress-metamask，[1.2.1,1.2.1]
@ensdomains/dnsprovejs，[0.5.3,0.5.3]
@ensdomains/dnssec-oracle-anchors，[0.0.2,0.0.2]
@ensdomains/dnssecoraclejs，[0.2.9,0.2.9]
@ensdomains/durin-middleware，[0.0.2,0.0.2]
@ensdomains/ens-archived-contracts，[0.0.3,0.0.3]
@ensdomains/ens-avatar，[1.0.4,1.0.4]
@ensdomains/ens-validation，[0.1.1,0.1.1]
@ensdomains/hackathon-registrar，[1.0.5,1.0.5]
@ensdomains/hardhat-chai-matchers-viem，[0.1.15,0.1.15]
@ensdomains/hardhat-toolbox-viem-extended，[0.0.6,0.0.6]
@ensdomains/mock，[2.1.52,2.1.52]
@ensdomains/name-wrapper，[1.0.1,1.0.1]
@ensdomains/offchain-resolver-contracts，[0.2.2,0.2.2]
@ensdomains/react-ens-address，[0.0.32,0.0.32]
@ensdomains/renewal-widget，[0.1.10,0.1.10]
@ensdomains/reverse-records，[1.0.1,1.0.1]
@ensdomains/server-analytics，[0.0.2,0.0.2]
@ensdomains/solsha1，[0.0.4,0.0.4]
@ensdomains/subdomain-registrar，[0.2.4,0.2.4]
@ensdomains/test-utils，[1.3.1,1.3.1]
@ensdomains/thorin，[0.6.51,0.6.51]
@ensdomains/ui，[3.4.6,3.4.6]
@ensdomains/unruggable-gateways，[0.0.3,0.0.3]
@ensdomains/web3modal，[1.10.2,1.10.2]
@everreal/react-charts，[2.0.1,2.0.1]、[2.0.2,2.0.2]
@everreal/validate-esmoduleinterop-imports，[1.4.5,1.4.5]、[1.4.4,1.4.4]
@everreal/web-analytics，[0.0.1,0.0.1]、[0.0.2,0.0.2]
@ifelsedeveloper/protocol-contracts-svm-idl，[0.1.2,0.1.2]、[0.1.3,0.1.3]
@ifings/design-system，[4.9.2,4.9.2]
@ifings/metatron3，[0.1.5,0.1.5]
@kvytech/medusa-plugin-announcement，[0.0.8,0.0.8]
@kvytech/medusa-plugin-newsletter，[0.0.5,0.0.5]
@kvytech/web，[0.0.2,0.0.2]
@lessondesk/api-client，[9.12.3,9.12.3]、[9.12.2,9.12.2]
@lessondesk/eslint-config，[1.4.2,1.4.2]
@lessondesk/material-icons，[1.0.3,1.0.3]
@lessondesk/react-table-context，[2.0.4,2.0.4]
@lessondesk/schoolbus，[5.2.2,5.2.2]、[5.2.3,5.2.3]
@louisle2/cortex-js，[0.1.6,0.1.6]
@markvivanco/app-version-checker，[1.0.2,1.0.2]
@mcp-use/cli，[2.2.6,2.2.6]
@mcp-use/inspector，[0.6.3,0.6.3]、[0.6.2,0.6.2]
@mcp-use/mcp-use，[1.0.1,1.0.1]
@mparpaillon/connector-parse，[1.0.1,1.0.1]
@mparpaillon/imagesloaded，[4.1.2,4.1.2]
@mparpaillon/page，[1.0.1,1.0.1]
@ntnx/passport-wso2，[0.0.3,0.0.3]
@ntnx/t，[0.0.101,0.0.101]
@orbitgtbelgium/mapbox-gl-draw-scale-rotate-mode，[1.1.1,1.1.1]
@orbitgtbelgium/orbit-components，[1.2.9,1.2.9]
@orbitgtbelgium/time-slider，[1.0.187,1.0.187]
@osmanekrem/error-handler，[1.2.2,1.2.2]
@posthog/agent，[1.24.1,1.24.1]
@posthog/ai，[7.1.2,7.1.2]
@posthog/automatic-cohorts-plugin，[0.0.8,0.0.8]
@posthog/cli，[0.5.15,0.5.15]
@posthog/core，[1.5.6,1.5.6]
@posthog/currency-normalization-plugin，[0.0.8,0.0.8]
@posthog/customerio-plugin，[0.0.8,0.0.8]
@posthog/databricks-plugin，[0.0.8,0.0.8]
@posthog/event-sequence-timer-plugin，[0.0.8,0.0.8]
@posthog/geoip-plugin，[0.0.8,0.0.8]
@posthog/github-release-tracking-plugin，[0.0.8,0.0.8]
@posthog/gitub-star-sync-plugin，[0.0.8,0.0.8]
@posthog/hedgehog-mode，[0.0.42,0.0.42]
@posthog/ingestion-alert-plugin，[0.0.8,0.0.8]
@posthog/kinesis-plugin，[0.0.8,0.0.8]
@posthog/maxmind-plugin，[0.1.6,0.1.6]
@posthog/nextjs，[0.0.3,0.0.3]
@posthog/nextjs-config，[1.5.1,1.5.1]
@posthog/nuxt，[1.2.9,1.2.9]
@posthog/pagerduty-plugin，[0.0.8,0.0.8]
@posthog/piscina，[3.2.1,3.2.1]
@posthog/plugin-contrib，[0.0.6,0.0.6]
@posthog/rrdom，[0.0.31,0.0.31]
@posthog/rrweb，[0.0.31,0.0.31]
@posthog/rrweb-player，[0.0.31,0.0.31]
@posthog/rrweb-record，[0.0.31,0.0.31]
@posthog/rrweb-snapshot，[0.0.31,0.0.31]
@posthog/rrweb-utils，[0.0.31,0.0.31]
@posthog/sendgrid-plugin，[0.0.8,0.0.8]
@posthog/siphash，[1.1.2,1.1.2]
@posthog/taxonomy-plugin，[0.0.8,0.0.8]
@posthog/twitter-followers-plugin，[0.0.8,0.0.8]
@posthog/url-normalizer-plugin，[0.0.8,0.0.8]
@posthog/variance-plugin，[0.0.8,0.0.8]
@posthog/wizard，[1.18.1,1.18.1]
@postman/aether-icons，[2.23.2,2.23.2]、[2.23.4,2.23.4]
@postman/csv-parse，[4.0.5,4.0.5]、[4.0.3,4.0.3]、[4.0.4,4.0.4]
@postman/final-node-keytar，[7.9.1,7.9.1]、[7.9.2,7.9.2]
@postman/mcp-ui-client，[5.5.2,5.5.2]、[5.5.1,5.5.1]
@postman/node-keytar，[7.9.5,7.9.5]、[7.9.4,7.9.4]、[7.9.6,7.9.6]
@postman/pm-bin-linux-x64，[1.24.5,1.24.5]、[1.24.3,1.24.3]、[1.24.4,1.24.4]
@postman/pm-bin-macos-arm64，[1.24.3,1.24.3]、[1.24.5,1.24.5]、[1.24.4,1.24.4]
@postman/pm-bin-macos-x64，[1.24.5,1.24.5]、[1.24.3,1.24.3]
@postman/pm-bin-windows-x64，[1.24.5,1.24.5]、[1.24.4,1.24.4]
@postman/postman-collection-fork，[4.3.3,4.3.3]、[4.3.5,4.3.5]
@postman/postman-mcp-cli，[1.0.5,1.0.5]
@postman/postman-mcp-server，[2.4.10,2.4.10]、[2.4.11,2.4.11]
@postman/pretty-ms，[6.1.3,6.1.3]、[6.1.2,6.1.2]、[6.1.1,6.1.1]
@postman/secret-scanner-wasm，[2.1.2,2.1.2]
@postman/wdio-allure-reporter，[0.0.9,0.0.9]
@postman/wdio-junit-reporter，[0.0.4,0.0.4]、[0.0.6,0.0.6]
@quick-start-soft/quick-document-translator，[1.4.2511142126,1.4.2511142126]
@quick-start-soft/quick-git-clean-markdown，[1.4.2511142126,1.4.2511142126]
@quick-start-soft/quick-markdown，[1.4.2511142126,1.4.2511142126]
@quick-start-soft/quick-markdown-compose，[1.4.2506300029,1.4.2506300029]
@quick-start-soft/quick-markdown-image，[1.4.2511142126,1.4.2511142126]
@relyt/claude-context-core，[0.1.1,0.1.1]
@relyt/claude-context-mcp，[0.1.1,0.1.1]
@seung-ju/next，[0.0.2,0.0.2]
@seung-ju/openapi-generator，[0.0.4,0.0.4]
@seung-ju/react-hooks，[0.0.2,0.0.2]
@seung-ju/react-native-action-sheet，[0.2.1,0.2.1]
@strapbuild/react-native-date-time-picker，[2.0.4,2.0.4]
@strapbuild/react-native-perspective-image-cropper-2，[0.4.7,0.4.7]
@strapbuild/react-native-perspective-image-cropper-poojan31，[0.4.6,0.4.6]
@thedelta/eslint-config，[1.0.2,1.0.2]
@tiaanduplessis/json，[2.0.2,2.0.2]、[2.0.3,2.0.3]
@tiaanduplessis/react-progressbar，[1.0.1,1.0.1]、[1.0.2,1.0.2]
@trigo/atrix，[7.0.1,7.0.1]
@trigo/atrix-acl，[4.0.2,4.0.2]
@trigo/atrix-elasticsearch，[2.0.1,2.0.1]
@trigo/atrix-mongoose，[1.0.2,1.0.2]
@trigo/atrix-orientdb，[1.0.2,1.0.2]
@trigo/atrix-postgres，[1.0.3,1.0.3]
@trigo/atrix-pubsub，[4.0.3,4.0.3]
@trigo/atrix-redis，[1.0.2,1.0.2]
@trigo/atrix-soap，[1.0.2,1.0.2]
@trigo/bool-expressions，[4.1.3,4.1.3]
@trigo/eslint-config-trigo，[3.3.1,3.3.1]
@trigo/fsm，[3.4.2,3.4.2]
@trigo/hapi-auth-signedlink，[1.3.1,1.3.1]
@trigo/jsdt，[0.2.1,0.2.1]
@trigo/keycloak-api，[1.3.1,1.3.1]
@trigo/node-soap，[0.5.4,0.5.4]
@trigo/pathfinder-ui-css，[0.1.1,0.1.1]
@trigo/trigo-hapijs，[5.0.1,5.0.1]
@varsityvibe/api-client，[1.3.37,1.3.37]
@varsityvibe/utils，[5.0.6,5.0.6]
@zapier/ai-actions，[0.1.20,0.1.20]、[0.1.19,0.1.19]、[0.1.18,0.1.18]
@zapier/babel-preset-zapier，[6.4.3,6.4.3]
@zapier/browserslist-config-zapier，[1.0.3,1.0.3]、[1.0.5,1.0.5]
@zapier/eslint-plugin-zapier，[11.0.5,11.0.5]、[11.0.4,11.0.4]
@zapier/mcp-integration，[3.0.3,3.0.3]、[3.0.1,3.0.1]
@zapier/secret-scrubber，[1.1.4,1.1.4]、[1.1.5,1.1.5]、[1.1.3,1.1.3]
@zapier/spectral-api-ruleset，[1.9.1,1.9.1]、[1.9.2,1.9.2]
@zapier/stubtree，[0.1.3,0.1.3]
@zapier/zapier-sdk，[0.15.7,0.15.7]、[0.15.5,0.15.5]
asyncapi-preview，[1.0.1,1.0.1]、[1.0.2,1.0.2]
atrix，[1.0.1,1.0.1]
atrix-mongoose，[1.0.1,1.0.1]
automation_model，[1.0.491,1.0.491]
axios-builder，[1.2.1,1.2.1]
axios-cancelable，[1.0.2,1.0.2]、[1.0.1,1.0.1]
axios-timed，[1.0.1,1.0.1]、[1.0.2,1.0.2]
barebones-css，[1.1.4,1.1.4]、[1.1.3,1.1.3]
blob-to-base64，[1.0.3,1.0.3]
bool-expressions，[0.1.2,0.1.2]
bytecode-checker-cli，[1.0.11,1.0.11]、[1.0.8,1.0.8]、[1.0.10,1.0.10]、[1.0.9,1.0.9]
bytes-to-x，[1.0.1,1.0.1]
calc-loan-interest，[1.0.4,1.0.4]
capacitor-plugin-purchase，[0.1.1,0.1.1]
capacitor-plugin-scgssigninwithgoogle，[0.0.5,0.0.5]
capacitor-purchase-history，[0.0.10,0.0.10]
capacitor-voice-recorder-wav，[6.0.3,6.0.3]
claude-token-updater，[1.0.3,1.0.3]
coinmarketcap-api，[3.1.2,3.1.2]、[3.1.3,3.1.3]
colors-regex，[2.0.1,2.0.1]
compare-obj，[1.1.2,1.1.2]、[1.1.1,1.1.1]
count-it-down，[1.0.1,1.0.1]
cpu-instructions，[0.0.14,0.0.14]
create-glee-app，[0.2.3,0.2.3]
create-hardhat3-app，[1.1.4,1.1.4]、[1.1.2,1.1.2]、[1.1.1,1.1.1]
create-mcp-use-app，[0.5.4,0.5.4]、[0.5.3,0.5.3]
css-dedoupe，[0.1.2,0.1.2]
devstart-cli，[1.0.6,1.0.6]
discord-bot-server，[0.1.2,0.1.2]
dont-go，[1.1.2,1.1.2]
dotnet-template，[0.0.4,0.0.4]
email-deliverability-tester，[1.1.1,1.1.1]
enforce-branch-name，[1.1.3,1.1.3]
esbuild-plugin-eta，[0.1.1,0.1.1]
esbuild-plugin-httpfile，[0.4.1,0.4.1]
eslint-config-nitpicky，[4.0.1,4.0.1]
eslint-config-trigo，[22.0.2,22.0.2]
evm-checkcode-cli，[1.0.12,1.0.12]、[1.0.15,1.0.15]、[1.0.13,1.0.13]、[1.0.14,1.0.14]
exact-ticker，[0.3.5,0.3.5]
expo-audio-session，[0.2.1,0.2.1]
fat-fingered，[1.0.2,1.0.2]、[1.0.1,1.0.1]
feature-flip，[1.0.1,1.0.1]、[1.0.2,1.0.2]
fittxt，[1.0.2,1.0.2]、[1.0.3,1.0.3]
flapstacks，[1.0.1,1.0.1]
flatten-unflatten，[1.0.2,1.0.2]、[1.0.1,1.0.1]
formik-error-focus，[2.0.1,2.0.1]
formik-store，[1.0.1,1.0.1]
fuzzy-finder，[1.0.6,1.0.6]、[1.0.5,1.0.5]
gate-evm-check-code2，[2.0.4,2.0.4]、[2.0.5,2.0.5]、[2.0.3,2.0.3]
gate-evm-tools-test，[1.0.8,1.0.8]、[1.0.7,1.0.7]
gatsby-plugin-cname，[1.0.1,1.0.1]、[1.0.2,1.0.2]
generator-ng-itobuz，[0.0.15,0.0.15]
get-them-args，[1.3.3,1.3.3]
gulp-inject-envs，[1.2.2,1.2.2]、[1.2.1,1.2.1]
haufe-axera-api-client，[0.0.2,0.0.2]
hope-mapboxdraw，[0.1.1,0.1.1]
hopedraw，[1.0.3,1.0.3]
httpness，[1.0.2,1.0.2]、[1.0.3,1.0.3]
hyper-fullfacing，[1.0.3,1.0.3]
hyperterm-hipster，[1.0.7,1.0.7]
image-to-uri，[1.0.1,1.0.1]、[1.0.2,1.0.2]
iron-shield-miniapp，[0.0.2,0.0.2]
ito-button，[8.0.3,8.0.3]
itobuz-angular，[0.0.1,0.0.1]
itobuz-angular-auth，[8.0.11,8.0.11]
itobuz-angular-button，[8.0.11,8.0.11]
jacob-zuma，[1.0.1,1.0.1]、[1.0.2,1.0.2]
jan-browser，[0.13.1,0.13.1]
jquery-bindings，[1.1.3,1.1.3]、[1.1.2,1.1.2]
just-toasty，[1.7.1,1.7.1]
kill-port，[2.0.2,2.0.2]、[2.0.3,2.0.3]
korea-administrative-area-geo-json-util，[1.0.7,1.0.7]
lang-codes，[1.0.2,1.0.2]、[1.0.1,1.0.1]
license-o-matic，[1.2.1,1.2.1]、[1.2.2,1.2.2]
lint-staged-imagemin，[1.3.2,1.3.2]、[1.3.1,1.3.1]
lite-serper-mcp-server，[0.2.2,0.2.2]
luno-api，[1.2.3,1.2.3]
manual-billing-system-miniapp-api，[1.3.1,1.3.1]
mcp-use，[1.4.2,1.4.2]、[1.4.3,1.4.3]
medusa-plugin-announcement，[0.0.3,0.0.3]
medusa-plugin-momo，[0.0.68,0.0.68]
mod10-check-digit，[1.0.1,1.0.1]
n8n-nodes-tmdb，[0.5.1,0.5.1]
nanoreset，[7.0.1,7.0.1]、[7.0.2,7.0.2]
next-circular-dependency，[1.0.3,1.0.3]
next-simple-google-analytics，[1.1.2,1.1.2]、[1.1.1,1.1.1]
next-styled-nprogress，[1.0.4,1.0.4]、[1.0.5,1.0.5]
ngx-useful-swiper-prosenjit，[9.0.2,9.0.2]
ngx-wooapi，[12.0.1,12.0.1]
obj-to-css，[1.0.3,1.0.3]
okta-react-router-6，[5.0.1,5.0.1]
open2internet，[0.1.1,0.1.1]
orbit-boxicons，[2.1.3,2.1.3]
orbit-nebula-draw-tools，[1.0.10,1.0.10]
orbit-nebula-editor，[1.0.2,1.0.2]
orbit-soap，[0.43.13,0.43.13]
package-tester，[1.0.1,1.0.1]
parcel-plugin-asset-copier，[1.1.3,1.1.3]
pdf-annotation，[0.0.2,0.0.2]
pico-uid，[1.0.4,1.0.4]、[1.0.3,1.0.3]
pkg-readme，[1.1.1,1.1.1]
poper-react-sdk，[0.1.2,0.1.2]
posthog-docusaurus，[2.0.6,2.0.6]
posthog-node，[4.18.1,4.18.1]、[5.11.3,5.11.3]、[5.13.3,5.13.3]
posthog-plugin-hello-world，[1.0.1,1.0.1]
posthog-react-native，[4.11.1,4.11.1]、[4.12.5,4.12.5]
posthog-react-native-session-replay，[1.2.2,1.2.2]
prime-one-table，[0.0.19,0.0.19]
prompt-eng，[1.0.50,1.0.50]
prompt-eng-server，[1.0.18,1.0.18]
puny-req，[1.0.3,1.0.3]
ra-auth-firebase，[1.0.3,1.0.3]
ra-data-firebase，[1.0.7,1.0.7]、[1.0.8,1.0.8]
react-element-prompt-inspector，[0.1.18,0.1.18]
react-favic，[1.0.2,1.0.2]
react-hook-form-persist，[3.0.2,3.0.2]、[3.0.1,3.0.1]
react-jam-icons，[1.0.2,1.0.2]、[1.0.1,1.0.1]
react-keycloak-context，[1.0.8,1.0.8]、[1.0.9,1.0.9]
react-library-setup，[0.0.6,0.0.6]
react-linear-loader，[1.0.2,1.0.2]
react-micromodal.js，[1.0.1,1.0.1]、[1.0.2,1.0.2]
react-native-datepicker-modal，[1.3.2,1.3.2]、[1.3.1,1.3.1]
react-native-email，[2.1.1,2.1.1]
react-native-fetch，[2.0.2,2.0.2]、[2.0.1,2.0.1]
react-native-get-pixel-dimensions，[1.0.1,1.0.1]、[1.0.2,1.0.2]
react-native-google-maps-directions，[2.1.2,2.1.2]
react-native-jam-icons，[1.0.1,1.0.1]、[1.0.2,1.0.2]
react-native-log-level，[1.2.1,1.2.1]、[1.2.2,1.2.2]
react-native-modest-checkbox，[3.3.1,3.3.1]
react-native-modest-storage，[2.1.1,2.1.1]
react-native-phone-call，[1.2.1,1.2.1]、[1.2.2,1.2.2]
react-native-retriable-fetch，[2.0.2,2.0.2]、[2.0.1,2.0.1]
react-native-view-finder，[1.2.1,1.2.1]、[1.2.2,1.2.2]
react-native-websocket，[1.0.3,1.0.3]、[1.0.4,1.0.4]
react-native-worklet-functions，[3.3.3,3.3.3]
react-qr-image，[1.1.1,1.1.1]
redux-forge，[2.5.3,2.5.3]
redux-router-kit，[1.2.3,1.2.3]、[1.2.2,1.2.2]、[1.2.4,1.2.4]
rollup-plugin-httpfile，[0.2.1,0.2.1]
sa-company-registration-number-regex，[1.0.2,1.0.2]、[1.0.1,1.0.1]
sa-id-gen，[1.0.5,1.0.5]、[1.0.4,1.0.4]
samesame，[1.0.3,1.0.3]
scgsffcreator，[1.0.5,1.0.5]
selenium-session，[1.0.5,1.0.5]
selenium-session-client，[1.0.4,1.0.4]
set-nested-prop，[2.0.1,2.0.1]、[2.0.2,2.0.2]
shell-exec，[1.1.4,1.1.4]、[1.1.3,1.1.3]
skills-use，[0.1.2,0.1.2]
south-african-id-info，[1.0.2,1.0.2]
stat-fns，[1.0.1,1.0.1]
stoor，[2.3.2,2.3.2]
super-commit，[1.0.1,1.0.1]
svelte-autocomplete-select，[1.1.1,1.1.1]
svelte-toasty，[1.1.2,1.1.2]、[1.1.3,1.1.3]
tanstack-shadcn-table，[1.1.5,1.1.5]
tcsp，[2.0.2,2.0.2]
tcsp-draw-test，[1.0.5,1.0.5]
tcsp-test-vd，[2.4.4,2.4.4]
template-lib，[1.1.3,1.1.3]、[1.1.4,1.1.4]
template-micro-service，[1.0.3,1.0.3]、[1.0.2,1.0.2]
tenacious-fetch，[2.3.3,2.3.3]、[2.3.2,2.3.2]
test-foundry-app，[1.0.3,1.0.3]、[1.0.4,1.0.4]
test-hardhat-app，[1.0.3,1.0.3]
token.js-fork，[0.7.32,0.7.32]
trigo-react-app，[4.1.2,4.1.2]
typefence，[1.2.2,1.2.2]
typeorm-orbit，[0.2.27,0.2.27]
undefsafe-typed，[1.0.4,1.0.4]、[1.0.3,1.0.3]
url-encode-decode，[1.0.2,1.0.2]、[1.0.1,1.0.1]
valid-south-african-id，[1.0.3,1.0.3]
vite-plugin-httpfile，[0.2.1,0.2.1]
web-scraper-mcp，[1.1.4,1.1.4]
web-types-lit，[0.1.1,0.1.1]
wellness-expert-ng-gallery，[5.1.1,5.1.1]
wenk，[1.0.9,1.0.9]、[1.0.10,1.0.10]
zapier-async-storage，[1.0.2,1.0.2]、[1.0.1,1.0.1]、[1.0.3,1.0.3]
zapier-platform-cli，[18.0.3,18.0.3]
zapier-platform-core，[18.0.2,18.0.2]、[18.0.3,18.0.3]
zapier-platform-legacy-scripting-runner，[4.0.4,4.0.4]
zapier-platform-schema，[18.0.2,18.0.2]
zapier-scripts，[7.8.3,7.8.3]、[7.8.4,7.8.4]
zuper-cli，[1.0.1,1.0.1]
zuper-stream，[2.0.9,2.0.9]
参考链接： https://www.oscs1024.com/hd/MPS-pcs8-e7mz
PyPI仓库 hooktest1 组件内嵌后门
漏洞描述： 当用户安装受影响版本的 hooktest1 Python组件包时会从攻击者可控的 Discord 服务器(Discord Token：MTQzNTk0OTg0MDcxNzU4MjQ4OQ.Gqx9mu.tGzz9jUDe5FxhIs_NkHv0P9ZliOj7_Z4-UNuqw)接受并执行任意代码，攻击者可对用户主机进行远控。
影响范围： hooktest1，[0.1.0,0.1.1]
testingpkgja，[0.1.0,0.1.0]
参考链接： https://www.oscs1024.com/hd/MPS-26k9-xphe