一、Vim 代码执行风险
Vim 是从 vi 发展出来的一个文本编辑器，在程序员中被广泛使用。
1. 风险内容
该漏洞源于 Vim 的 tabpanel 选项缺少 P_MLE 安全标志，导致 tabline 脚本中的表达式可被用于注册任意命令。攻击者可以通过诱导用户打开特制文件，执行任意代码，从而导致获取系统控制权，可能导致数据泄露、系统破坏等严重后果。
2. 影响范围
9.1.1391 <= Vim < 9.2.0272
3. 修复建议
联系信息中心获取版本更新链接。
二、vLLM trust_remote_code 绕过远程代码执行风险
vLLM 是一个高性能的大模型推理框架，广泛用于推理服务、AI 应用后端与生产级模型部署场景。
1. 风险内容
该漏洞存在于vllm/model_executor/models/nemotron_vl.py和vllm/model_executor/models/kimi_k25.py 文件中，由于代码中硬编码设置 trust_remote_code=True，导致用户显式配置 trust-remote-code=False 被绕过。攻击者可通过构造恶意 HuggingFace 模型仓库，在模型加载过程中执行任意 Python 代码，获取服务器执行权限，进而实现系统控制、数据窃取或横向移动。该漏洞破坏了 trust_remote_code 安全机制的信任边界，可能导致敏感数据泄露及服务被完全接管，存在较高合规风险。
2. 影响范围
3. 修复建议
联系信息中心获取版本更新链接。
三、n8n Merge 节点 SQL 模式远程代码执行风险
n8n 是一个开源的工作流自动化工具，广泛应用于开发者和企业用户。
1. 风险内容
该漏洞存在于 Merge 节点的 Combine by SQL 功能中，由于底层 AlaSQL 沙箱对 SQL 语句限制不充分，导致攻击者可构造恶意 SQL 语句突破沙箱限制。具备工作流创建或修改权限的认证用户可通过该漏洞读取服务器本地敏感文件，甚至执行任意代码，从而完全控制 n8n 实例。该漏洞可能导致敏感数据泄露、系统被入侵及业务中断，严重情况下可能引发数据安全与合规风险，如违反 GDPR 或数据保护相关法规，对企业和用户安全造成严重影响。
2. 影响范围
n8n < 2.14.1
n8n < 2.13.3
n8n < 1.123.27
3. 修复建议
联系信息中心获取版本更新链接。
