ClickSoftware

Commerce Cloud

Experience Cloud

Heroku

Hyperforce

Marketing Cloud

MuleSoft

Pardot

Quip

Sales Cloud

Salesforce 平台

Salesforce Einstein

服务云

Slack

Tableau

Agentforce

对 2021 年 10 月 4 日 CERT 协调中心说明的回复 (VU#883754) 

Salesforce Developer Experience 命令行界面的配置

ADV-2021-017

ADV-2021-016

对 2021 年 10 月 24 日 Microsoft 博客贴文的回复

以云服务和供应链为目标的 Nobelium 黑客攻击

2022 年 3 月发布的 Spring4Shell 漏洞

Spring4Shell 安全更新

Heroku 安全通知

Tableau 服务器将个人访问令牌记录到内部日志存储库中

Tableau 安全更新

Tableau 服务器中被破坏的访问控制漏洞

CVE-2022-22127

恶意软件可能将 Salesforce 用户视为攻击目标。

TrickBot / The Trick

以 Windows“永恒之蓝”漏洞为目标的勒索软件。

WannaCry 勒索软件

包含网络钓鱼链接的 Google Docs 邀请。

Google Docs 网络钓鱼攻击活动

Tableau Gallery 中使用的 Oracle NetSuite 和 SAP SuccessFactors 连接器可能将敏感数据存储在 Tableau 本地客户的日志基础设施的子集中  

Oracle NetSuite 和 SAP SuccessFactors 连接器问题

2021 年 12 月 10 日发布的 Apache Log4j2 漏洞

Apache Log4j2 漏洞

利用 MS17-010（又称 EternalBlue）漏洞的恶意软件

MS17-010 漏洞（又称 EternalBlue）

Cloudflare 是一家嵌入式内容交付网络和互联网安全服务提供商，该公司在其边缘服务器上披露了一个安全漏洞，该漏洞可能会暴露 HTTP cookie、身份验证令牌和 HTTP POST 正文等信息。

Cloudflare 漏洞

Twitter 帐户活动 API

如果您的组织受到信息安全事件的影响，将通知组织的安全联系人。

管理组织的安全联系人

Mule 运行时和 API 网关远程代码执行漏洞

CVE-2019-15631

Salesforce 没有受到任何重大业务影响

COVID-19 业务连续性声明

CVE-2020-6937

CVE-2019-15630

Tableau 服务器中的敏感信息泄露漏洞

CVE-2020-6938

安全漏洞对 Salesforce 站点和社区的影响

Salesforce 安全漏洞

日志中包含 Tableau 服务器敏感信息

ADV-2020-046

某些权限更改需要重启服务器才能生效

ADV-2020-047

Salesforce 主题的网络钓鱼攻击活动

网络钓鱼攻击活动

Tableau 服务器日志包含 Webhook URL

ADV-2020-045

ADV-2020-044

日志文件位置信息中包含 Tableau 服务器敏感值

ADV-2020-048

增强社区和门户用户的安全性

存储库中记录了明文数据源保密信息

ADV-2020-049

REST API 向未经身份验证的用户返回一个站点配置值

ADV-2020-050

ADV-2020-051

ADV-2020-053

Tableau 服务器允许 Web 区域存在外部 Web 页面

ADV-2020-052

Tableau Desktop 在配置文件中存储明文保密信息

ADV-2020-054

CVE-2020-6939

ADV-2020-057

ADV-2020-056

日志文件中记录数据库登录凭据

ADV-2020-055

ADV-2020-059

Tableau 服务器默认安装文件夹权限较弱

ADV-2020-060

ADV-2020-058

Tableau 服务器非默认安装文件夹权限较弱

ADV-2020-061

Tableau 服务器将 Postgres 数据存储库密码记入日志

ADV-2021-005

ADV-2021-004

ADV-2021-003

ADV-2021-001

ADV-2021-002

ADV-2021-007

联邦政府和财富 500 强公司受到供应链攻击

SolarWinds 软件数据泄露

ADV-2021-008

ADV-2021-010

CVE-2021-1627

ADV-2021-011

2021 年 3 月 2 日发布的 Microsoft Exchange Server 漏洞 

Microsoft Exchange Server 漏洞

ADV-2021-009

Bash Uploader 用户的机密信息被威胁实施者泄露

Codecov Bash Uploader 数据泄露

ADV-2021-013

ADV-2021-012

2021 年 7 月 2 日发生的 Kaseya VSA 勒索软件攻击


Kaseya 勒索软件攻击

CVE-2021-1626

首次使用 SQL 时出现的数据缓存访问控制不正确的问题

ADV-2021-015

ADV-2021-006

对 2021 年 8 月 10 日 Varonis 博客贴文的回复

Salesforce 站点和社区访客用户访问控制权限的配置

Mule 运行时 XML 外部实体 (XXE) 漏洞

CVE-2021-1628

CVE-2021-1630

影响 Tableau 服务器管理代理的问题

CVE-2022-22128

对 Salesforce 产品进行安全评估之前不再要求客户事先获得批准。

安全评估

漏洞可能导致对 MOVEit 文件传输产品和环境的未授权访问。目前对 Salesforce 客户数据没有影响。6 月 16 日，又公布了一个严重的漏洞（以 708 结尾）。7 月 5 日，公布了 932、933 和 934 结尾的 CVE。

CVE-2023-34362, CVE-2023-35036, CVE-2023-35708, CVE-2023-36932, CVE-2023-36933, CVE-2023-36934

Tableau Python 服务器 (TabPy) 安装可以配置为在不进行身份验证的情况下执行任意 Python 代码。影响的产品：TabPy 2.8.0 及更早的版本。

影响 Salesforce 硬 cookie 开源 NPM 项目的 JavaScript 漏洞，它可能允许恶意行为者将 cookie 数据附加到全局命名空间。

CVE-2023-26136

服务器端请求伪造漏洞，允许恶意行为者通过身份验证进入 Tableau 服务器的实例来访问客户的托管数据。

Tableau 安全通知

Salesforce 正在积极调查 CVE-2023-46604 的潜在影响，并会在必要时实施缓解措施。Salesforce 将继续遵循其漏洞管理流程，如果我们发现未经授权访问客户数据的证据，我们将立即通知受影响的各方。

CVE-2023-46604

2023 年 11 月 2 日，Salesforce 安全性部门收到了 CVE-2023-46604 的通知，这是一个影响 Apache ActiveMQ 客户端的远程代码执行 (RCE) 漏洞。

2023 年 5 月 11 日，我们的高级服务器访问 (ASA) 计划报告了一个本地文件包含 (LFI) 安全漏洞。


影响本地 Tableau 服务器的本地文件包含 (LFI) 漏洞

Salesforce 安全性发现了一个影响 Tableau 流编辑器功能中电子邮件通知功能的漏洞。由于此问题，经过身份验证的用户可以在客户的 Tableau Server 实例上执行任意命令。我们将 CVSSv3 评分定为 9.1。

影响 Tableau Server 某些版本的本地文件包含 (LFI) 漏洞

为了增强安全功能并帮助防止滥用免费试用组织，2024 年 10 月 8 日，我们暂时禁用了核心 CRM 产品试用的用户发起的电子邮件功能，这不包括活跃客户或其他 Salesforce 产品。



用户电子邮件功能暂时中断

Tableau 允许通过指定特定值是包含在查询中还是排除在查询外的筛选功能，对数据库字段实施行级访问控制。由于访问控制被破坏，如果在最初筛选字段后向字段添加了新值，在受影响的版本中，启用了筛选压缩功能的工作簿字段会在数据可视化中公开。Tableau 在 11 月维护版的 Tableau Cloud 和 Server 中默认禁用了筛选压缩功能。

 

Tableau 行级访问控制的安全性问题

Salesforce 强烈建议客户从 RSA 密钥交换过渡到 TLS 1.3，以提升网络通信的安全性和效率。

从 RSA 密钥交换过渡到 TLS 1.3。

未启用多重身份验证 (MFA)、未设置 IP 限制且/或使用弱凭据的用户账户，存在被恶意攻击者入侵的风险。有关如何使用自定义设置或实施 Shield 事件监控来保护用户账户的概述，请参阅随附的帮助文章。

采取措施防止账户被入侵 

Salesforce 安全团队在 8 月维护版本中解决了一个影响 Tableau Cloud 和 Server 工作簿的安全问题。我们强烈建议 Tableau Server 客户应用与主版本相关的更新，该更新可从 Tableau Server 维护版本页面下载。Cloud 客户无需采取行动，因为已于 2024 年 8 月 9 日对 Cloud 实例应用了补丁。

影响 Tableau 行级访问控制的安全问题

从 2025 年 3 月 4 日起（针对 Starter 和 ProSuite）、2025 年 3 月 5 日起（针对 Service Enterprise Edition 和 Unlimited Edition）以及 2025 年 3 月 20 日起（针对 Sales Enterprise 和 Unlimited Edition），通过 Salesforce 网站配置的试用组织在标准 30 天评估期内的电子邮件功能将被禁用。

Salesforce.com 试用注册用户的电子邮件功能限制

Salesforce 知晓有关影响 Omnistudio 的安全漏洞的媒体报道，这些漏洞的编号为 CVE 2025-43698、2025-43700、2025-43701、2025-43699 和 2025-43697，它们会影响 Omnistudio 的 Flexcard 和数据映射器组件。

影响 Omnistudio 的 Flexcard 和数据映射器组件的 CVE

Salesforce 已知晓近期有关 Aura 控制器相关安全问题的媒体报道。我们严肃对待此类问题，并持续进行系统扫描，以主动识别和解决潜在漏洞。保护我们的客户及其数据是我们的首要任务。根据现有信息，我们尚未发现与该问题相关的被利用的任何证据。Salesforce 已经实施了修复，目前无需客户采取行动。如有其他问题，建议客户联系 Salesforce 支持团队。





有关 Aura 控制器的安全问题

2025 年 6 月 26 日，一封关于 2025 年 6 月 26 日发布的 6 月维护版本中所涉及的各种漏洞的邮件被发送给了所有活跃的 Tableau Server 账户的入口网站管理员和安全联系人。此问题影响以下 Tableau Server 版本：2025.1.3 之前的版本、2024.2.12 之前的版本、2023.3.19 之前的版本。以下是相关 CVE 编号：CVE-2025-52446 CVE-2025-52447 CVE-2025-52448 CVE-2025-52449 CVE-2025-52452 CVE-2025-52453 CVE-2025-52454 CVE-2025-52455 



影响部分版本 Tableau Server 的各类漏洞对应的通用漏洞披露 (CVE) 编号

Salesforce Platform

Service Cloud

Security Advisory: As social engineering and phishing threats continue to rise, our top priority is to help customers strengthen their security posture.  We encourage all customers to review our blog post on the topic, which gathers some of the key resources to protect your environment against these types of attacks.

Protect Your Salesforce Environment from Social Engineering Threats

To enhance security against prompt injection risks in Agentforce and Einstein Generative AI, Salesforce is changing the “isConfirmationRequired” setting for “UpdateCustomerContact” and “UpdateVerifiedContact” actions, ensuring Human-in-the-loop (HITL) confirmation before updates. This proactive measure, part of our ongoing commitment to Trust, aims to reduce the likelihood and impact of prompt injection attacks. 


Confirmation Required For Agentforce Verified Contact and Customer Contact Actions

Salesforce Security identified and resolved multiple vulnerabilities in Tableau Server as part of a proactive security assessment. Fixes for these issues were included in the July Maintenance Release, published on July 22, 2025. The CVE's are listed below.

CVE-2025-26496
CVE-2025-26497
CVE-2025-26498
CVE-2025-52450
CVE-2025-52451


CVE's for various vulnerabilities impacting some versions of Tableau Server and Tableau Desktop

To enhance security against prompt injection risks in Agentforce and Einstein Generative AI, Salesforce is changing the “isConfirmationRequired” setting for “AddCaseComment”, “CancelOrder”, “CreateCase”, “CreateCaseEnhancedData”, “FinalizeNewDeliveryTime”, “FinalizeReservation”, “ResetPassword”, and “ResetSecurePassword” actions, ensuring Human-in-the-loop (HITL) confirmation before actioning. 

We are applying this proactive security measure to all Agentforce Standard actions to help reduce the risk of prompt injections. As a result, Service Agents will more frequently ask you to confirm an action before it is executed. We recommend customers configure their custom actions to require confirmation before completing any sensitive actions.













Security Advisory Confirmation Required For Agentforce Actions

Salesforce has disabled the connection between the Drift app by Salesloft and Salesforce after identifying a security incident. This issue did not stem from a vulnerability within the core Salesforce platform.



Ongoing Security Response to Third-Party App Incident

Salesforce has disabled all integrations between Salesforce and Salesloft technologies, including the Drift app, as a precautionary measure. Organizations will not be able to connect to Salesforce via any Salesloft apps until further notice.


Salesloft App Connections to Salesforce Disabled

We are aware of recent extortion attempts by threat actors, which we have investigated in partnership with external experts and authorities. Our findings indicate these attempts relate to past or unsubstantiated incidents, and we remain engaged with affected customers to provide support.

安全通告