OpenWRT 曝远程代码执行漏洞

OpenWRT曝远程代码执行漏洞https://www.solidot.org/story?sid=63387「路由器发行版OpenWrt一个远程代码执行漏洞，OpenWrtopkg包中的一个bug会导致包管理器忽略库索引嵌入的SHA-256校验和，事实上绕过了下载.ipk文件的完整性检查。由于opkg包以root权限运行，对整个文件系统具有读访问权限，意味着.ipk包嵌入的恶意负荷能执行任意代码。开发者已经释出了新版本修复了漏洞。」

WPS Office 存在远程代码执行漏洞

WPSOffice存在远程代码执行漏洞WPS近日发布安全通告，确认WPSOffice存在代码执行漏洞，建议用户更新到最新版本。WPS官方称，攻击者利用本漏洞专门构造出恶意文档，受害者打开该文档并执行相应操作后，才会联网从远程服务器下载恶意代码到指定目录并执行，前提是系统当前用户对该目录具备写权限，攻击者进而控制其电脑。影响范围•WPSOffice个人版，Windows平台，版本号低于12.1.0.15120（含）•WPSOffice机构版本（如专业版、专业增强版），Windows平台，版本号低于11.8.2.12055（含）——

Telegram Desktop版本远程代码执行漏洞已被确认

TelegramDesktop版本远程代码执行漏洞已被确认疑似攻击者通过伪造MIMEtype实现客户端欺骗，涉及Telegram中的两个API功能——`sendVideo`和`InputFile`。前置条件:TelegramDesktopWindows<＝v4.16.6+安装Python环境。`sendVideo`中的`video`字段支持两种输入方式，“InputFileorString”，问题出在InputFile-SendingbyURL时，目标资源可以拥有一个自定义的MIME标签，以指示其他Telegram客户端应该以什么方式加载这个资源。而这些被篡改且不怀好意的`.pyzw`文件，在这里都被指定为了`video/mp4`，导致其他Telegram客户端将以播放器模式展示这个文件。另外，TelegramDesktopGithub库下一条中提到一个Bug，能通过某种方式发送pyzw格文件，Telegram会将其识别为视频文件，实现伪装视频效果，TelegramDesktop的影片播放方式决定了TelegramDesktop将会把这些较小的视讯资源放置在本地下载目录，然后通过“执行”的方式来加载本地影片至内嵌播放器，这也就是为什么在用户点击这些“假影片”后会自动执行攻击者编写的代码。线索：@ZaiHuabot投稿：@TNSubmbot频道：@TestFlightCN