最近發現的幾個漏洞：
- Visual Studio Code (VS Code) 中已發現一個嚴重漏洞 (CVE-2022-41034)，當用戶打開攻擊者準備的鏈接時，該漏洞允許執行代碼。 該代碼可以在 VS Code 計算機上執行，也可以在使用遠程開發功能連接到 VS Code 的任何其他計算機上執行。 該問題對 VS Code 網頁版和基於它的網頁編輯器（包括 GitHub Codespaces 和 github.dev）的用戶構成了最大的危險。
該漏洞是由於在編輯器中處理從受控Web 服務器下載的Jypiter Notebook 格式的特殊設計文檔時，處理“command:”服務鏈接以打開帶有終端的窗口並在其中執行任意shell 命令的能力引起的。由攻擊者（在“isTrusted”模式下打開擴展名為“.ipynb”的外部文件而無需額外確認，該模式允許處理“command:”）。
- GNU Emacs 文本編輯器 (CVE-2022-45939) 中已發現一個漏洞，該漏洞允許在使用代碼打開文件時通過替換使用 ctags 工具包處理的名稱中的特殊字符來組織命令的執行。
- Grafana 開源數據可視化平台中已發現一個漏洞 (CVE-2022-31097)，該漏洞可能允許在通過 Grafana 警報系統顯示通知時執行 JavaScript 代碼。 具有編輯權限的攻擊者可以準備一個專門設計的鏈接，如果管理員單擊此鏈接，則可以使用管理員權限訪問 Grafana 界面。 該漏洞已在 Grafana 9.2.7、9.3.0、9.0.3、8.5.9、8.4.10 和 8.3.10 版本中修復。
- 用於為 Prometheus 創建指標導出器的導出器工具包庫中存在漏洞 (CVE-2022-46146)。 該問題允許您繞過基本身份驗證。
- Apache Fineract 金融服務平台中存在漏洞 (CVE-2022-44635)，允許未經身份驗證的用戶實現遠程代碼執行。 該問題是由於加載文件的組件處理的路徑中的“..”字符缺乏正確的轉義引起的。 該漏洞已在 Apache Fineract 1.7.1 和 1.8.1 版本中修復。
- Apache Tapestry Java 框架中存在一個漏洞 (CVE-2022-46366)，該漏洞允許在反序列化特殊格式的數據時執行自定義代碼。 該問題僅出現在 Apache Tapestry 3.x 的舊分支中，該分支不再受支持。
- Hive (CVE-2022-41131)、Pinot (CVE-2022-38649)、Pig (CVE-2022-40189) 和Spark (CVE-2022-40954) 的Apache Airflow 提供程序中存在漏洞，導致通過加載任意代碼遠程執行代碼作業執行上下文中的文件或命令替換，而無需對 DAG 文件進行寫訪問。
來源： opennet.ru