FreeBuf早报 | SQLite3驱动高危漏洞可致SQL注入攻击；利用参数污染结合JS注入
内容提要
全球网安事件速递报道了多项高危漏洞，包括ADOdb SQLite3驱动的SQL注入、NVIDIA Triton服务器的远程代码执行漏洞和富士胶片打印机的拒绝服务漏洞。攻击者利用这些漏洞进行恶意活动，建议用户及时更新软件和固件以增强安全性。
关键要点
-
ADOdb SQLite3驱动存在高危SQL注入漏洞(CVE-2025-54119，CVSS 10.0)，建议升级至5.22.10。
-
HTTP参数污染结合JS注入可绕过主流WAF，暴露安全防护的局限性。
-
树莓知更鸟恶意软件利用CLFS驱动漏洞入侵Windows系统，威胁企业安全。
-
开源软件供应链成为网络犯罪新目标，恶意NPM和PyPI包数量激增。
-
威胁组织利用AI技术扩大攻击规模，朝鲜FAMOUS CHOLLIMA组织渗透320家公司。
-
NVIDIA Triton服务器存在多个高危漏洞，建议用户升级至25.07版本。
-
富士胶片打印机存在越界写入漏洞，攻击者可导致设备崩溃，建议更新固件。
-
联发科芯片组曝高危漏洞，涉及多款主流型号，厂商需紧急更新。
-
LegalPwn攻击手法利用AI法律合规漏洞，导致恶意代码被误判为安全。
-
SonicWall调查SSL VPN可能存在的零日漏洞，建议禁用SSL VPN并启用MFA。
延伸解读
ADOdb SQLite3驱动漏洞的影响
ADOdb SQLite3驱动的高危SQL注入漏洞（CVE-2025-54119）具有极高的CVSS评分（10.0），意味着攻击者可以轻易利用此漏洞进行恶意SQL注入，导致数据泄露或篡改。用户应立即升级至5.22.10版本，以防止潜在的安全风险。
WAF防护的局限性
研究表明，HTTP参数污染结合JS注入可以绕过大多数主流WAF的防护，只有少数几种能够有效拦截。这一发现凸显了WAF在面对复杂攻击时的局限性，企业应考虑多层次的安全防护措施，以增强整体安全性。
开源软件供应链的安全隐患
随着网络犯罪分子越来越多地利用开源软件供应链中的漏洞传播恶意代码，开发者需提高警惕。恶意NPM和PyPI包的激增表明，开发者信任的生态系统也可能成为攻击者的目标，建议定期审查和更新依赖项。
AI技术在网络攻击中的应用
威胁组织正在利用AI技术来加速和扩大攻击规模，朝鲜FAMOUS CHOLLIMA组织的案例显示，AI可以用于深度伪造和社会工程攻击。这一趋势可能导致网络安全面临更大的挑战，企业需加强对AI相关攻击手法的防范。
延伸问答
ADOdb SQLite3驱动的高危漏洞是什么？
ADOdb SQLite3驱动存在高危SQL注入漏洞(CVE-2025-54119，CVSS 10.0)，建议升级至5.22.10以防止攻击。
如何防范HTTP参数污染和JS注入攻击？
建议加强WAF配置，定期更新安全策略，以防止HTTP参数污染和JS注入攻击的绕过。
树莓知更鸟恶意软件的攻击方式是什么？
树莓知更鸟恶意软件利用CLFS驱动漏洞入侵Windows系统，并通过USB传播，采用高级混淆技术规避检测。
NVIDIA Triton服务器的漏洞有哪些影响？
NVIDIA Triton服务器存在多个高危漏洞，攻击者可远程执行代码并完全控制服务器，威胁AI模型安全。
开源软件供应链面临什么样的安全威胁？
开源软件供应链成为网络犯罪的新目标，恶意NPM和PyPI包数量激增，攻击者利用开发者信任植入恶意代码。
LegalPwn攻击手法是如何工作的？
LegalPwn攻击利用AI法律合规漏洞，将恶意代码伪装成法律文本，导致主流AI模型误判为安全代码。
