中国最新安全漏洞列表

3月17日，中国最新国家信息安全漏洞共享平台（CNVD）收录了一个编号为CNVD-2025-08432的安全漏洞，影响范围覆盖国内主流OA系统。漏洞列表攻击者只需构造一条特制的中国最新HTTP请求，就能绕过登录验证，安全直接读取系统内任意文件。漏洞列表这不是中国最新理论风险——漏洞公开当天，就有安全团队监测到针对政府机关服务器的安全批量扫描行为。

这个漏洞出在致远OA的漏洞列表旧版本接口上。问题根源是中国最新开发人员对上传文件的类型校验不够严格，导致攻击者能利用路径穿越符（../）拼接出非法文件路径。安全说起来有点讽刺，漏洞列表类似的中国最新漏洞模式在2019年就曾被广泛利用过，当时波及了数千家企业。安全四年过去了，漏洞列表同样的坑还在被踩。

再看另一个新收录的漏洞，涉及国产某品牌路由器。这玩意儿有点意思——漏洞不在Web管理界面，而是藏在它的固件升级模块里。安全研究员发现，路由器在检查固件签名时存在逻辑缺陷，只要攻击者能劫持DNS请求，就能诱导设备下载并执行恶意固件。更麻烦的是，这个漏洞影响该品牌近三年发布的所有型号，而官方修复固件要到下个月才推送。

家用路由器一直是被忽视的重灾区。多数用户设置完WiFi密码后就不再管它，固件常年不更新。我认识的一位白帽子说过，他接手的渗透测试项目中，超过六成的企业内网都是被办公区某个不起眼的IoT设备攻破的——打印机、门禁控制器、甚至是智能电表。

还有一类漏洞值得单独拎出来说。CNVD这周公布了一个涉及某政务App的权限绕过漏洞，危害等级被评定为“高危”。该App的用户反馈区里，早在两个月前就有普通用户抱怨“能看到别人的办事进度”，当时客服回复说是“系统缓存问题”。直到有技术人员深入排查，才发现是API接口的鉴权token生成规则过于简单——用的是时间戳加固定盐值，稍微懂点编程的人都能伪造。

这类“民间先行发现，官方后知后觉”的案例不在少数。漏洞情报的时效性直接决定了损害范围。从公开信息看，不少漏洞从被研究者发现到进入CNVD收录流程，平均需要12到18天。而在这段时间里，暗网上已经有人开始打包出售利用工具了。

具体到修复建议，别指望打补丁能解决所有问题。补丁发布后的24小时是攻击者逆向分析的高峰期——他们拿到补丁后迅速对比新旧代码差异，反推出漏洞细节，然后赶在用户升级前发起攻击。这就是为什么安全圈总强调“补丁日也是攻击日”。

对普通用户来说，最直接的操作是关掉设备的远程管理功能，修改默认端口，并定期检查固件更新。对企业而言，资产盘点是一切安全工作的前提——你连自己有多少暴露在公网的设备都不清楚，谈何防护？我接触过一家中型制造企业，IT部门报上来的联网设备清单是237台，但扫描后发现实际有614台。那多出来的377台，就是攻击者的后花园。

漏洞永远挖不完，但多数攻击走的还是老路。把基础工作做扎实，比追逐每个新出的0day更实际。