网络安全动态 - 2025.07.24

关键词：零售消费    网络攻击    IT外包商

2025年07月23日报道。Clorox起诉IT外包商Cognizant重大疏忽，指其在未验证身份情况下为黑客重置员工密码，导致2023年8月严重网络攻击。攻击源于“Scattered Spider”组织，造成大规模业务中断和供应短缺，Clorox索赔3.8亿美元。

Source:https://www.bleepingcomputer.com/news/security/hackers-fooled-cognizant-help-desk-says-clorox-in-380m-cyberattack-lawsuit/

关键词：零售消费    客户信息

2025年07月22日报道。澳大利亚时尚品牌SABO因数据库配置错误，导致350万余条客户记录泄露，包含姓名、地址、邮箱及订单信息。研究员Fowler发现292GB敏感数据未加密且无密码保护，可能被用于钓鱼及金融欺诈。SABO在接到披露后已修复漏洞。

Source:https://hackread.com/global-fashion-label-sabo-customer-records-leaked/

关键词：macOS零日漏洞    提权

2025年07月22日报道。威胁行为者“skart7”在地下论坛出售macOS零日本地权限提升（LPE）漏洞，适用于macOS 13.0至15.5及26 beta版本，售价约13万美元。该漏洞可使普通用户直接获取root权限，风险极高，目前尚未被苹果或安全研究人员证实。

Source:https://cybersecuritynews.com/macos-0-day-lpe-exploit/

关键词：SysAid ITSM    账户劫持

2025年07月23日报道。 CISA警告黑客正利用SysAid ITSM软件中的CVE-2025-2775和CVE-2025-2776漏洞获取敏感信息并劫持管理员账户。漏洞由watchTowr Labs发现并于2024年12月披露，2025年3月修复。CISA要求美国联邦机构在8月12日前完成修补，并建议全球组织优先更新系统。

Source:https://www.bleepingcomputer.com/news/security/cisa-warns-of-hackers-exploiting-sysaid-vulnerabilities-in-attacks/

关键词：Form-Data库    RCE   安全更新

2025年07月23日报道。JavaScript库Form-Data被曝存在CVE-2025-7783漏洞（CVSS 9.4），因使用Math.random生成multipart边界值导致可预测性，攻击者可实施multipart注入并可能触发远程代码执行。受影响版本包括<2.5.4、3.0.0-3.0.3和4.0.0-4.0.3，开发者需尽快升级至2.5.4、3.0.4或4.0.4。

Source:https://securityonline.info/critical-flaw-cve-2025-7783-cvss-9-4-in-form-data-library-exposes-millions-of-apps-to-multipart-injection-rce/