漏洞总结 漏洞 [1]：数据库监控模块未授权访问 - CVE-2025-8765 漏洞概述 Sage DPW 的非默认配置允许未授权访问数据库监控功能的诊断端点，暴露敏感信息（哈希值、表名等）。该功能默认禁用，在Sage DPW Cloud中不可用，已在版本 2025_06_003 中强制禁用。 影响范围 受影响组件： 端点 影响版本：非默认配置的本地部署版本（2025_06_003之前） Sage DPW Cloud 不受影响 修复方案 升级至版本 2025_06_003 或更高版本 该功能已被强制禁用 --- 漏洞 [2]：登录反馈用户枚举 - CVE-2025-8766 漏洞概述 Sage DPW 的登录机制对有效和无效用户名返回不同的响应，允许攻击者枚举系统中存在的账户。 影响范围 受影响组件：认证/登录处理模块 影响版本：2021_06_000之前的版本 Sage DPW Cloud 不受影响（该功能不可配置） 修复方案 本地部署管理员可在新版本中选择切换此行为 --- 漏洞 [3]：邮件和HTTP-POST存储型XSS - CVE-2025-8767 漏洞概述 数据库监控模块的评估和邮件功能存在存储型XSS漏洞，未过滤的输入可导致本地用户上下文执行HTML/JavaScript。影响有限，payload仅在本地运行，cookie通过HttpOnly保护。 影响范围 受影响组件： 及邮件/POST功能 影响版本：非默认配置的本地部署版本（2025_06_004之前） Sage DPW Cloud 不受影响 修复方案 升级至版本 2025_06_004 或更高版本 --- 通用参考信息 安全公告来源：Limes Security 官方参考：https://www.sagedpw.at/