一、Spring Cloud Gateway 表达式注入风险。
Spring Cloud Gateway 是基于 Spring Framework 5、Project Reactor 和 Spring Boot 2 及以上版本构建的网关框架，用于提供统一的 API 路由、负载均衡、限流、监控和安全控制等功能。
1. 风险内容
当应用在路由配置中使用 Spring Expression Language（SpEL）且暴露了未经访问控制的 Actuator gateway 端点时，攻击者可通过构造恶意路由表达式，读取系统环境变量和系统属性，从而造成敏感信息泄露。
2. 影响范围
4.3.0 <= Spring Cloud Gateway < 4.3.2
4.2.0 <= Spring Cloud Gateway < 4.2.6
4.1.0 <= Spring Cloud Gateway < 4.1.12
4.0.0 <= Spring Cloud Gateway < 4.0.12
3.1.0 <= Spring Cloud Gateway < 3.1.12
3. 修复建议
联系信息中心获取版本更新链接。
二、Apache OFBiz 任意文件上传风险
Apache OFBiz 是一个开源的企业资源规划（ERP）框架，它包括订单管理、库存管理、会计、客户关系管理等模块，用于各类中小型企业的业务流程管理。
1. 风险内容
该漏洞允许攻击者上传具有危险类型的文件，这可能导致远程代码执行或其他恶意行为的发生。攻击者可以通过该漏洞上传恶意文件并执行其中的代码，造成服务器被控制或敏感数据泄露。
2. 影响范围
Apache OFBiz < 24.09.03
3. 修复建议
联系信息中心获取版本更新链接。
三、Django SQL 注入风险
Django 是一个 Python Web 框架，用于快速开发安全、可维护的网站。
1. 风险内容
该漏洞存在于 QuerySet 的 filter()、exclude()、get()方法以及Q类的使用中。当攻击者通过字典扩展方式传递一个精心构造的字典作为_connector 关键字参数时，Django 在构造 SQL 查询时未正确处理该输入，导致恶意 SQL 代码的注入。攻击者可以利用此漏洞绕过应用程序的 SQL 查询安全机制，执行未授权的数据库操作，可能导致敏感数据泄露、数据篡改或数据丢失。
2. 影响范围
Django < 5.1.14
Django < 4.2.26
Django < 5.2.8 早期不受支持的 Django 版本（如 5.0.x、4.1.x、3.2.x）可能也受到影响
3. 修复建议
联系信息中心获取版本更新链接。
