CWE-134 使用外部控制的格式字符串 类弱点 151 条 CVE 漏洞汇总，含 AI 中文分析。
CWE-134 属于格式化字符串漏洞，指程序将源自外部不可信源的数据直接作为格式化字符串参数使用。攻击者可通过注入特定格式说明符（如 %x、%n）读取栈内存敏感信息或篡改内存数据，导致信息泄露或服务拒绝。开发者应避免直接使用用户输入作为格式化字符串，需采用硬编码格式模板并仅将用户数据作为参数传入，或严格过滤输入内容以消除安全风险。
#include <stdio.h> void printWrapper(char *string) { printf(string); } int main(int argc, char **argv) { char buf[5012]; memcpy(buf, argv[1], 5012); printWrapper(argv[1]); return (0); }int main(int argc, char **argv){ char buf[128]; ... snprintf(buf,128,argv[1]); }| CVE ID | 标题 | CVSS | 风险等级 | Published |
|---|---|---|---|---|
| CVE-2022-35880 | Abode Iota 格式化字符串错误漏洞 — iota All-In-One Security Kit | 8.8 | - | 2022-10-25 |
| CVE-2022-35879 | Abode Iota 格式化字符串错误漏洞 — iota All-In-One Security Kit | 8.8 | - | 2022-10-25 |
| CVE-2022-35878 | Abode Iota 格式化字符串错误漏洞 — iota All-In-One Security Kit | 8.8 | - | 2022-10-25 |
| CVE-2022-35877 | Abode Iota 格式化字符串错误漏洞 — iota All-In-One Security Kit | 9.8 | - | 2022-10-25 |
| CVE-2022-35876 | Abode Iota 格式化字符串错误漏洞 — iota All-In-One Security Kit | 9.8 | - | 2022-10-25 |
| CVE-2022-35875 | Abode Iota 格式化字符串错误漏洞 — iota All-In-One Security Kit | 9.8 | - | 2022-10-25 |
| CVE-2022-35874 | Abode Iota 格式化字符串错误漏洞 — iota All-In-One Security Kit | 9.8 | - | 2022-10-25 |
| CVE-2022-35244 | Abode Iota 格式化字符串错误漏洞 — iota All-In-One Security Kit | 9.8 | - | 2022-10-25 |
| CVE-2022-33938 | Abode Iota 格式化字符串错误漏洞 — iota All-In-One Security Kit | 9.8 | - | 2022-10-25 |
| CVE-2022-40604 | Apache Airflow 格式化字符串错误漏洞 — Apache Airflow | 7.5 | - | 2022-09-21 |
| CVE-2022-26393 | Baxter Spectrum 格式化字符串错误漏洞 — Baxter Spectrum Wireless Battery Module (WBM) | 5.0 | Medium | 2022-09-09 |
| CVE-2022-26392 | Baxter Spectrum 格式化字符串错误漏洞 — Baxter Spectrum Wireless Battery Module (WBM) | 3.1 | Low | 2022-09-09 |
| CVE-2022-34747 | Zyxel NAS326 格式化字符串错误漏洞 — Zyxel NAS326 firmware | 9.8 | Critical | 2022-09-06 |
| CVE-2022-2652 | v4l2loopback 格式化字符串错误漏洞 — umlaeute/v4l2loopback | 7.1 | - | 2022-08-04 |
| CVE-2022-1215 | libinput 格式化字符串错误漏洞 — libinput | 7.8 | - | 2022-05-31 |
| CVE-2022-26674 | ASUS RT-AX88U 格式化字符串错误漏洞 — RT-AX88U | 9.8 | Critical | 2022-04-22 |
| CVE-2021-41193 | Wire-AVS 格式化字符串错误漏洞 — wire-avs | 9.8 | Critical | 2022-03-01 |
| CVE-2022-24051 | MariaDB 格式化字符串错误漏洞 — MariaDB | 7.8 | - | 2022-02-18 |
| CVE-2021-32785 | Apache HTTP Server 格式化字符串错误漏洞 — mod_auth_openidc | 5.3 | Medium | 2021-07-22 |
| CVE-2021-33535 | Weidmueller Industrial WLAN 格式化字符串错误漏洞 — IE-WL(T)-BL-AP-CL-XX | 8.8 | High | 2021-06-25 |
| CVE-2021-20307 | lianhaidong libpano13 格式化字符串错误漏洞 — libpano13 | 9.8 | - | 2021-04-05 |
| CVE-2020-15634 | NETGEAR R6700 格式化字符串错误漏洞 — R6700 | 8.8 | - | 2020-08-19 |
| CVE-2020-1992 | Palo Alto Networks PAN-OS 格式化字符串错误漏洞 — PAN-OS | 8.1 | High | 2020-04-08 |
| CVE-2020-1979 | Palo Alto Networks PAN-OS 格式化字符串错误漏洞 — PAN-OS | 8.1 | High | 2020-03-11 |
| CVE-2020-3118 | Cisco IOS XR 缓冲区错误漏洞 — Cisco IOS XR Software | 8.8 | - | 2020-02-05 |
| CVE-2019-13318 | Foxit Reader和Foxit PhantomPDF 格式化字符串错误漏洞 — Reader | 5.5 | - | 2019-10-04 |
| CVE-2019-6840 | 多款Schneider Electric产品格式化字符串错误漏洞 — U.motion Server | 9.8 | - | 2019-09-17 |
| CVE-2017-7519 | Red Hat Ceph 格式化字符串漏洞 — ceph | 4.4 | - | 2018-07-27 |
| CVE-2017-0898 | Ruby 安全漏洞 — Ruby | 9.8 | - | 2017-09-15 |
| CVE-2017-12702 | Advantech WebAccess 格式化字符串漏洞 — Advantech WebAccess | 8.8 | - | 2017-08-30 |
CWE-134（使用外部控制的格式字符串） 是常见的弱点类别，本平台收录该类弱点关联的 151 条 CVE 漏洞。