作者： cve-20

ICLR 2025 Workshop 征稿：推动基础模型的开源、开放、可复现

发布于 作者:

ICLR 2025 Workshop 征稿：推动基础模型的开源、开放、可复现 字节跳动技术团队 2025-01-07 04:02 国际学习表征会议  ICLR 作为深度学习领域的顶级学术活动，将于 2025 年 4 月 24-28 日在新加坡举办。 期间，首届 Open Science for Foundation Models (SCI-FM) Workshop 将在会场同步开启，现面向业界进行

继续阅读

Moxa 设备严重漏洞将工业网络暴露在攻击中

发布于 作者:

Moxa 设备严重漏洞将工业网络暴露在攻击中 Bill Toulas 代码卫士 2025-01-07 04:01 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 工业网络和通信提供商 Moxa 提醒称，多个蜂窝路由器、安全路由器和网络安全设备的多个机型受一个高危漏洞和一个严重漏洞影响。这两个漏洞可导致远程攻击者在易受攻击设备上获得根权限并执行任意命令，从而导致任意代码执行后果。 Moxa 路

继续阅读

Nuclei 被曝高危漏洞！允许攻击者进行签名绕过和代码执行，谨慎使用陌生的YAML模板

发布于 作者:

Nuclei 被曝高危漏洞！允许攻击者进行签名绕过和代码执行，谨慎使用陌生的YAML模板 WH0sec 2025-01-07 03:30 “ Nuclei 被披露了一个高度严重的安全漏洞， CVE-2024-43405，CVSS 评分为 7.4 分。它会影响 3.0.0 之后的所有 Nuclei 版本。” Nuclei Nuclei是一种用于自动化漏洞扫描和发现的工具，它可以帮助安全研究人员和渗透

继续阅读

【漏洞预警】用友 U8cloud CTExecDraftAction SQL注入漏洞

发布于 作者:

【漏洞预警】用友 U8cloud CTExecDraftAction SQL注入漏洞 原创 MasterC 企业安全实践 2025-01-07 03:11 一、漏洞描述 用友U8cloud是用友推出的新一代云ERP，主要聚焦成长型、创新型企业，提供企业级云ERP整体解决方案，支持多组织业务协同、营销创新、智能财务、人力服务，构建产业链制造。用友U8cloud CTExecDraftAction 存

继续阅读

2025 OWASP 大语言模型应用程序10大风险

发布于 作者:

2025 OWASP 大语言模型应用程序10大风险 聊安全 一起聊安全 2025-01-07 02:18 网安人必收！2024年度报告&白皮书、安全标准与技术方案全汇总 2024年度大盘点：网络安全必读资料大集合 在这个AI技术日新月异的时代，大规模语言模型（LLM）正以前所未有的速度重塑各行各业。从客户互动到内部运营，LLM技术的广泛应用为我们的工作和生活带来了前所未有的便捷与效率。然而

继续阅读

【漏洞复现】EasyCVR视频管理平台存在任意文件读取漏洞

发布于 作者:

【漏洞复现】EasyCVR视频管理平台存在任意文件读取漏洞 新势界NewFrontier 2025-01-07 02:03 声明 该公众号大部分文章来自作者日常学习笔记，也有部分文章是经过作者授权和其他公众号白名单转载，未经授权，严禁转载，如需转载，联系开白。请勿利用文章内的相关技术从事非法测试，如因此产生的一切不良后果与文章作者和本公众号无关。公众号现在只对常读和星标的公众号才展示大图推送，建议

继续阅读

【漏洞复现】急诊急救快速联动平台ServicePage.aspx任意文件读取漏洞

发布于 作者:

【漏洞复现】急诊急救快速联动平台ServicePage.aspx任意文件读取漏洞 原创 清风 白帽攻防 2025-01-07 01:05 免责声明：请勿使用本文中提到的技术进行非法测试或行为。使用本文中提供的信息或工具所造成的任何后果和损失由使用者自行承担，所产生的一切不良后果与文章作者无关。该文章仅供学习用途使用。 简介 互慧急诊急救快速联动平台是一个专门用于管理门诊急诊病人的系统，分为两大主要

继续阅读

【全球首发】【6w$赏金】微软身份漏洞-未授权强制解绑任意微软账户邮箱（全球微软账户邮箱或受影响)

发布于 作者:

【全球首发】【6w$赏金】微软身份漏洞-未授权强制解绑任意微软账户邮箱（全球微软账户邮箱或受影响) 实战安全研究 2025-01-07 01:00 11.6 – birthday gift for me 商务合作、转载本文，请后台私聊本公众号 吃瓜请看至文末 致谢 我是Feng Jiaming，公开别名 Sugobet/M1n9K1n9，来自中国广东工贸职业技术学院的在校学生 I&#8

继续阅读

漏洞的尽头竟然是玄学，随机触发学会了！

发布于 作者:

漏洞的尽头竟然是玄学，随机触发学会了！ 小嘟 dotNet安全矩阵 2025-01-07 00:20 某技术交流群里，最近的热门话题是某漏洞的“玄学触发”。据说这个漏洞的表现堪比薛定谔的猫，触发与否完全看缘分。 漏洞的尽头竟然是玄学，有位群友总结得精辟：这漏洞就是黑客界的买彩票，一键下去，全靠手气！

继续阅读

AWS在4年内出现3次重复同一个严重RCE漏洞

发布于 作者:

AWS在4年内出现3次重复同一个严重RCE漏洞 原创 何威风 祺印说信安 2025-01-07 00:10 过去四年中，亚马逊网络服务 (AWS) 通过其 Neuron SDK 三次引入相同的远程代码执行 (RCE) 漏洞，凸显其 Python 包安装过程的安全保护存在严重失误。 尽管之前已经发出警告并进行了修复，但同样的依赖混淆漏洞在其软件生态系统中随着新软件包的发布再次出现。 该问题最早是在

继续阅读

漏洞预警 | 科汛网校KesionEDU SQL注入漏洞

发布于 作者:

漏洞预警 | 科汛网校KesionEDU SQL注入漏洞 浅安 浅安安全 2025-01-07 00:01 0x00 漏洞编号 – 暂无 0x01 危险等级 – 高危 0x02 漏洞概述 科汛网校KesionEDU是KESION科汛开发的在线教育建站系统，支持在线直播教学、课程点播、录播授课等多种教学方式，满足不同场景下的教学需求。 0x03 漏洞详情 漏洞类型： SQL注

继续阅读

暗网情报5则：涉国外赌场、金融企业、国内化工上市企业、VPN漏洞等

发布于 作者:

暗网情报5则：涉国外赌场、金融企业、国内化工上市企业、VPN漏洞等 原创 网空闲话 网空闲话plus 2025-01-06 23:16 1月7日监测暗网发现，威胁行为者活动持续猖獗，发现多起风险较高的情报信息。首先，菲律宾博彩公司Betrnk Inc的完整源代码和游戏基础设施被窃取并在暗网出售，可能导致重大财务损失和运营中断。其次，哥伦比亚金融服务公司AXA COLPATRIA的数据库泄露，约1万

继续阅读

【神兵利器】内网全方位漏洞扫描工具

发布于 作者:

【神兵利器】内网全方位漏洞扫描工具 P001water 七芒星实验室 2025-01-06 23:01 项目介绍 P1soda是一款 常规内网渗透场景下的全方位漏洞扫描工具 功能特色 – 主机存活探测：充分适应内网场景，ip输入，支持ICMP echo发包探测、ping命令探测 端口指纹识别：基于nmap-service-probes指纹实现的Mini nmap端口指纹识别引擎，出于工

继续阅读

Nuclei 漏洞允许绕过签名并执行代码

发布于 作者:

Nuclei 漏洞允许绕过签名并执行代码 鹏鹏同学 黑猫安全 2025-01-06 23:00 一个高危安全漏洞，追踪为 CVE-2024-43405（CVSS 评分为 7.4），存在于开源漏洞扫描器 ProjectDiscovery 的 Nuclei 中，可能允许攻击者绕过签名检查并执行恶意代码。这个漏洞是由 Wiz 的工程团队发现的。 该漏洞源于换行符处理的差异和多签名处理，使攻击者能够向模板

继续阅读

如何将低危的 SSRF 盲注升级为严重漏洞

发布于 作者:

如何将低危的 SSRF 盲注升级为严重漏洞 Z2O安全攻防 2025-01-06 14:16 声明：文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由用户承担全部法律及连带责任，文章作者不承担任何法律及连带责任。 简介 今天分享国外白帽Amr Mustafa如何利用 SSRF 盲注发现和利用关键漏洞的经验。 什么是SSRF？ 服务器端请求伪造（SSRF）是一

继续阅读

某教学平台支付逻辑漏洞

发布于 作者:

某教学平台支付逻辑漏洞 原创 玲珑安全 芳华绝代安全团队 2025-01-06 13:05 关注公众号，阅读优质好文。 今天要讲的这个漏洞的核心思想是破坏业务逻辑的工作流程，具体来说是一个支付绕过漏洞，更具体地说是“低价购”。 漏洞细节 我们的目标应用程序是一个在线教学平台，分为两个主体：教师和学生。学生可以向特定的老师购买课程，然后通过会议/课程的形式使用所购买的内容。教学主题多样，包括数学、科

继续阅读

CVE-2024-25600 WordPress Bricks Builder远程代码执行漏洞分析

发布于 作者:

CVE-2024-25600 WordPress Bricks Builder远程代码执行漏洞分析 原创 ybdt 卡卡罗特取西经 2025-01-06 12:41 前言 朋友圈看到有人转发了一篇“CVE-2024-25600：WordPress Bricks Builder RCE”，感觉挺有意思，点进去看了下，可是从头到尾看得我有点迷糊，本着打破砂锅问到底的原则，本文试图以漏洞挖掘者的视角详细

继续阅读

【漏洞工具】小米路由器任意文件读取漏洞python图形化框架利用工具(poc|exp)

发布于 作者:

【漏洞工具】小米路由器任意文件读取漏洞python图形化框架利用工具(poc|exp) 原创 儒道易行 儒道易行 2025-01-06 12:01 there is no tomorrow 工具利用 漏洞扫描 漏洞利用 poc 本文poc、工具、源码加圈获取 知识星球 纷传 文笔生疏，措辞浅薄，望各位大佬不吝赐教，万分感谢。 免责声明：由于传播或利用此文所提供的信息、技术或方法而造成的任何直接或间

继续阅读

已打补丁但仍有漏洞 Windows BitLocker 加密再次被绕过

发布于 作者:

已打补丁但仍有漏洞 Windows BitLocker 加密再次被绕过 信息安全大事件 2025-01-06 11:58 在混沌通信大会（CCC）上出现的一个新发现动摇了 Windows 可信赖的 BitLocker 加密技术的基础。安全研究员托马斯-兰伯茨（Thomas Lambertz）在其题为 “Windows BitLocker：没有螺丝刀也能拧紧 ”的演讲中暴露了一个明显的漏洞，该漏洞允

继续阅读

ASUS 路由器漏洞允许执行任意代码

发布于 作者:

ASUS 路由器漏洞允许执行任意代码 网安百色 2025-01-06 11:32 点击上方 蓝字 关注我们吧~ 网络设备制造商华硕发布了针对多种路由器型号的重要安全建议。 该公司已在某些固件系列中发现注入和执行漏洞，这些漏洞可能允许经过身份验证的攻击者通过华硕路由器 AiCloud 功能触发命令执行。 漏洞 CVE-2024-12912 和 CVE-2024-13062 会影响运行固件版本 3.0

继续阅读

快讯丨工信部：关于防范Apache Struts2任意文件上传超危漏洞的风险提示

发布于 作者:

快讯丨工信部：关于防范Apache Struts2任意文件上传超危漏洞的风险提示 工业安全产业联盟平台 2025-01-06 10:56 近日，工业和信息化部网络安全威胁和漏洞信息共享平台（NVDB）监测发现，开源应用框架Apache Struts2存在任意文件上传超危漏洞，可被恶意利用实现远程代码执行，导致敏感数据泄露和系统受控。 Apache Struts2是一款开源Java Web应用程序开

继续阅读

【已复现】Windows 轻量级目录访问协议 (LDAP) 信息泄漏漏洞（CVE-2024-49113）

发布于 作者:

【已复现】Windows 轻量级目录访问协议 (LDAP) 信息泄漏漏洞（CVE-2024-49113） 长亭安全应急响应 黑伞安全 2025-01-06 10:17 Windows 轻量级目录访问协议（LDAP）是微软在 Windows Server 和 Active Directory 域环境中用于访问和维护目录服务信息的核心组件。它在域控制器 (DC) 上至关重要，安全漏洞可能严重影响域的整

继续阅读

每周网安资讯 （12.31-1.6）|HP多款产品存在漏洞

发布于 作者:

每周网安资讯 （12.31-1.6）|HP多款产品存在漏洞 交大捷普 2025-01-06 10:14 2024[ 每周网安资讯 ]12.31-1.6 网安资讯 1、国家发展改革委、国家数据局、教育部、财政部、金融监管总局、中国证监会印发《关于促进数据产业高质量发展的指导意见》 《意见》以习近平新时代中国特色社会主义思想为指导，全面贯彻落实党的二十大和二十届二中、三中全会精神，完整准确全面贯彻新发

继续阅读