CWE-134 使用外部控制的格式字符串 类弱点 138 条 CVE 漏洞汇总，含 AI 中文分析。
CWE-134 属于格式化字符串漏洞，指程序将源自外部不可信源的数据直接作为格式化字符串参数使用。攻击者可通过注入特定格式说明符（如 %x、%n）读取栈内存敏感信息或篡改内存数据，导致信息泄露或服务拒绝。开发者应避免直接使用用户输入作为格式化字符串，需采用硬编码格式模板并仅将用户数据作为参数传入，或严格过滤输入内容以消除安全风险。
#include <stdio.h> void printWrapper(char *string) { printf(string); } int main(int argc, char **argv) { char buf[5012]; memcpy(buf, argv[1], 5012); printWrapper(argv[1]); return (0); }int main(int argc, char **argv){ char buf[128]; ... snprintf(buf,128,argv[1]); }| CVE ID | 标题 | CVSS | 风险等级 | Published |
|---|---|---|---|---|
| CVE-2022-43953 | Fortinet FortiOS 格式化字符串错误漏洞 — FortiProxy | 6.3 | Medium | 2023-06-13 |
| CVE-2023-2186 | Triangle MicroWorks SCADA Data Gateway 格式化字符串错误漏洞 — SCADA Data Gateway | 8.2 | High | 2023-06-07 |
| CVE-2023-21497 | SAMSUNG Mobile devices 格式化字符串错误漏洞 — Samsung Mobile Devices | 4.4 | Medium | 2023-05-04 |
| CVE-2023-25492 | Lenovo XClarity Controller 格式化字符串错误漏洞 — XClarity Controller | 6.3 | Medium | 2023-05-01 |
| CVE-2023-22923 | Zyxel NBG-418N v2 格式化字符串错误漏洞 — NBG-418N v2 firmware | 6.5 | Medium | 2023-05-01 |
| CVE-2022-43619 | D-Link DIR-1935 格式化字符串错误漏洞 — DIR-1935 | 6.8 | - | 2023-03-29 |
| CVE-2015-10088 | ayttm 格式化字符串错误漏洞 — ayttm | 5.0 | Medium | 2023-03-05 |
| CVE-2023-23783 | Fortinet FortiWeb 格式化字符串错误漏洞 — FortiWeb | 6.5 | Medium | 2023-02-16 |
| CVE-2023-21420 | SAMSUNG Mobile devices 格式化字符串错误漏洞 — Samsung Mobile Devices | 7.3 | High | 2023-02-09 |
| CVE-2022-43869 | IBM Spectrum Scale 格式化字符串错误漏洞 — Elastic Storage System | 6.5 | Medium | 2023-02-08 |
| CVE-2023-22374 | F5 BIG-IP 格式化字符串错误漏洞 — BIG-IP | 8.5 | High | 2023-02-01 |
| CVE-2022-3023 | PingCAP TiDB 格式化字符串错误漏洞 — pingcap/tidb | 9.1 | - | 2022-11-04 |
| CVE-2022-35887 | Abode Iota 格式化字符串错误漏洞 — iota All-In-One Security Kit | 8.8 | - | 2022-10-25 |
| CVE-2022-35886 | Abode Iota 格式化字符串错误漏洞 — iota All-In-One Security Kit | 8.8 | - | 2022-10-25 |
| CVE-2022-35885 | Abode Iota 格式化字符串错误漏洞 — iota All-In-One Security Kit | 8.8 | - | 2022-10-25 |
| CVE-2022-35884 | Abode Iota 格式化字符串错误漏洞 — iota All-In-One Security Kit | 8.8 | - | 2022-10-25 |
| CVE-2022-35881 | Abode Iota 格式化字符串错误漏洞 — iota All-In-One Security Kit | 8.8 | - | 2022-10-25 |
| CVE-2022-35880 | Abode Iota 格式化字符串错误漏洞 — iota All-In-One Security Kit | 8.8 | - | 2022-10-25 |
| CVE-2022-35879 | Abode Iota 格式化字符串错误漏洞 — iota All-In-One Security Kit | 8.8 | - | 2022-10-25 |
| CVE-2022-35878 | Abode Iota 格式化字符串错误漏洞 — iota All-In-One Security Kit | 8.8 | - | 2022-10-25 |
| CVE-2022-35877 | Abode Iota 格式化字符串错误漏洞 — iota All-In-One Security Kit | 9.8 | - | 2022-10-25 |
| CVE-2022-35876 | Abode Iota 格式化字符串错误漏洞 — iota All-In-One Security Kit | 9.8 | - | 2022-10-25 |
| CVE-2022-35875 | Abode Iota 格式化字符串错误漏洞 — iota All-In-One Security Kit | 9.8 | - | 2022-10-25 |
| CVE-2022-35874 | Abode Iota 格式化字符串错误漏洞 — iota All-In-One Security Kit | 9.8 | - | 2022-10-25 |
| CVE-2022-35244 | Abode Iota 格式化字符串错误漏洞 — iota All-In-One Security Kit | 9.8 | - | 2022-10-25 |
| CVE-2022-33938 | Abode Iota 格式化字符串错误漏洞 — iota All-In-One Security Kit | 9.8 | - | 2022-10-25 |
| CVE-2022-40604 | Apache Airflow 格式化字符串错误漏洞 — Apache Airflow | 7.5 | - | 2022-09-21 |
| CVE-2022-26393 | Baxter Spectrum 格式化字符串错误漏洞 — Baxter Spectrum Wireless Battery Module (WBM) | 5.0 | Medium | 2022-09-09 |
| CVE-2022-26392 | Baxter Spectrum 格式化字符串错误漏洞 — Baxter Spectrum Wireless Battery Module (WBM) | 3.1 | Low | 2022-09-09 |
| CVE-2022-34747 | Zyxel NAS326 格式化字符串错误漏洞 — Zyxel NAS326 firmware | 9.8 | Critical | 2022-09-06 |
CWE-134（使用外部控制的格式字符串） 是常见的弱点类别，本平台收录该类弱点关联的 138 条 CVE 漏洞。