分类： vx

CNNVD | 关于Apache Dubbo 代码问题漏洞的通报

发布于 作者:

CNNVD | 关于Apache Dubbo 代码问题漏洞的通报 中国信息安全 2023-12-20 18:48 扫码订阅《中国信息安全》 邮发代号 2-786 征订热线：010-82341063 近日，国家信息安全漏洞库（CNNVD）收到关于Apache Dubbo代码问题漏洞（CNNVD-202312-1524、CVE-2023-29234）情况的报送。成功利用漏洞的攻击者，可在目标系统上执行

继续阅读

观点 | 堵住个人信息泄露的漏洞

发布于 作者:

观点 | 堵住个人信息泄露的漏洞 梅念章 李炏 中国信息安全 2023-12-20 18:48 扫码订阅《中国信息安全》 邮发代号 2-786 征订热线：010-82341063 近年来，伴随着《中华人民共和国个人信息保护法》的施行，我国不断加强对侵犯公民个人信息违法犯罪活动的打击力度。然而，公民个人信息被非法窃取、售卖等违法行为仍时有发生。笔者认为，基层通讯营业网点作为公民个人办理新号入网、手机

继续阅读

CVE-2023-36025 Windows SmartScreen安全功能绕过漏洞分析

发布于 作者:

CVE-2023-36025 Windows SmartScreen安全功能绕过漏洞分析 原创 天元实验室 M01N Team 2023-12-20 18:00 摘要 CVE-2023-36025是微软于11月补丁日发布的安全更新中修复Windows SmartScreen安全功能绕过漏洞。攻击者可以通过诱导用户单击特制的URL来利用该漏洞，对目标系统进行攻击。成功利用该漏洞的攻击者能够绕过Win

继续阅读

CNCERT：关于蓝牙协议存在中间人攻击漏洞的安全公告

发布于 作者:

CNCERT：关于蓝牙协议存在中间人攻击漏洞的安全公告 安全内参 2023-12-20 16:52 安全公告编号:CNTA-2023-0020 2023年12月20日，国家信息安全漏洞共享平台（CNVD）收录了蓝牙协议中间人攻击漏洞（CNVD-2023-98846，对应CVE-2023-24023）。攻击者利用漏洞通过欺骗性的配对或绑定设备强制使用较短的加密密钥长度，破坏蓝牙设备会话的安全验证机制

继续阅读

【已复现】金蝶天燕远程代码执行漏洞安全风险通告

发布于 作者:

【已复现】金蝶天燕远程代码执行漏洞安全风险通告 原创 QAX CERT 奇安信 CERT 2023-12-20 16:21 ●  点击↑蓝字关注我们，获取更多安全风险通告 漏洞概述 漏洞名称 金蝶天燕远程代码执行漏洞 漏洞编号 QVD-2023-48081 公开时间 2023-12-19 影响对象数量级 万级 奇安信评级 高危 CVSS 3.1分数 9.8 威胁类型 代码执行 利用可能性 高 PO

继续阅读

关于蓝牙协议存在中间人攻击漏洞的安全公告

发布于 作者:

关于蓝牙协议存在中间人攻击漏洞的安全公告 原创 CNVD CNVD漏洞平台 2023-12-20 16:12 安全公告编号:CNTA-2023-0020 2023年12月20日，国家信息安全漏洞共享平台（CNVD）收录了蓝牙协议中间人攻击漏洞（CNVD-2023-98846，对应CVE-2023-24023）。攻击者利用漏洞通过欺骗性的配对或绑定设备强制使用较短的加密密钥长度，破坏蓝牙设备会话的安

继续阅读

不靠谱的补丁！补丁再次被绕过-声音文件触发的Microsoft Outlook零点击漏洞链

发布于 作者:

不靠谱的补丁！补丁再次被绕过-声音文件触发的Microsoft Outlook零点击漏洞链 网络安全应急技术国家工程中心 2023-12-20 15:15 Akamai的安全研究人员正在分享Microsoft今年早些时候针对Outlook零点击远程代码执行漏洞发布的补丁的多个绕过细节。最初的问题被追踪为CVE-2023-23397，在俄罗斯国家支持的黑客组织在野外利用该问题大约一年后，微软于202

继续阅读

漏洞复现 || 奥威亚视屏云平台VideoCover任意文件上传

发布于 作者:

漏洞复现 || 奥威亚视屏云平台VideoCover任意文件上传 韩文庚 我爱林 2023-12-20 07:07 免责声明 我爱林攻防研究院的技术文章仅供参考，任何个人和组织使用网络应当遵守宪法法律，遵守公共秩序，尊重社会公德，不得利用网络从事危害国家安全、荣誉和利益，未经授权请勿利用文章中的技术资料对任何计算机系统进行入侵操作。利用此文所提供的信息而造成的直接或间接后果和损失，均由使用者本人负

继续阅读

用友U8 CRM系统help2 任意文件读取漏洞

发布于 作者:

用友U8 CRM系统help2 任意文件读取漏洞 原创 安全透视镜 网络安全透视镜 2023-12-20 07:00 一、漏洞描述 用友U8+经过20多年的市场锤炼，不断贴近客户需求，以全新UAP为平台，应对中型及成长型企业客户群的发展，提供的是一整套企业级数智化升级解决方案，为成长型企业构建精细管理、产业链协同、社交化运营为一体的企业互联网经营管理平台，助力企业应势而变。g该系统help2文件中

继续阅读

FileUpload1反序列化漏洞(学习笔记)

发布于 作者:

FileUpload1反序列化漏洞(学习笔记) 白帽子 2023-12-20 00:00 commons-fileupload的简介 FileUpload包可以很容易地添加强大的，高性能，文件上传到你的 Servlet 的Web应用程序的能力。 FileUpload解析HTTP请求符合RFC 1867年，“在HTML的文件上传。就是说，如果一个HTTP请求是使用POST方法提交，并与一个内容类型“

继续阅读

【漏洞复现】红帆OA iorepsavexml 任意文件上传漏洞

发布于 作者:

【漏洞复现】红帆OA iorepsavexml 任意文件上传漏洞 原创 ZJyang 蚁剑安全实验室 2023-12-19 22:47 免责声明：该文章仅用于技术讨论与学习。请勿利用文章所提供的相关技术从事非法测试，若利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果均与文章作者及本账号无关。 漏洞名称 红帆 OA iorepsavexml

继续阅读

jeecg-boot/积木报表系统testConnection接口存在远程命令执行漏洞 附POC

发布于 作者:

jeecg-boot/积木报表系统testConnection接口存在远程命令执行漏洞 附POC 原创 南风徐来 南风漏洞复现文库 2023-12-19 22:44 免责声明：请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果与文章作者无关。该文章仅供学习用途使用。 1. jeecg-boot/

继续阅读

微软在 Perforce Helix 核心服务器中发现4个安全漏洞

发布于 作者:

微软在 Perforce Helix 核心服务器中发现4个安全漏洞 信息安全大事件 2023-12-19 22:13 微软分析师在对Perforce Helix的游戏开发工作室产品进行安全审查时，发现为游戏、政府、军事和技术等部门广泛使用的源代码管理平台 Perforce Helix Core Server 存在四大漏洞，并于今年 8 月底向 Perforce 报告了这些漏洞，其中一个漏洞被评为严

继续阅读

【漏洞预警】Zabbix代码执行漏洞CVE-2023-32727

发布于 作者:

【漏洞预警】Zabbix代码执行漏洞CVE-2023-32727 cexlife 飓风网络安全 2023-12-19 21:42 漏洞简述:Zabbix是一个基于WEB界面的提供分布式系统监视以及网络监视功能的企业级开源监控解决方案，可以用来监控服务器、硬件、网络等,近日监测到Zabbix中修复了一个icmpping()代码执行漏洞（CVE-2023-32727），其CVSS评分为6.8。有权配置

继续阅读

【复现】 金蝶天燕未授权远程代码执行漏洞风险通告

发布于 作者:

【复现】 金蝶天燕未授权远程代码执行漏洞风险通告 原创 赛博昆仑CERT 赛博昆仑CERT 2023-12-19 20:25 赛博昆仑漏洞安全通告- 金蝶天燕未授权远程代码执行漏洞风险通告 漏洞描述 金蝶Apusic应用服务器（Apusic Application Server，AAS）是一款标准、安全、高效、集成并具丰富功能的企业级应用服务器软件，全面支持JakartaEE8/9的技术规范，提供

继续阅读

任意文件下载漏洞的利用思考

发布于 作者:

任意文件下载漏洞的利用思考 WIN哥学安全 2023-12-19 20:21 0x01 前言 任意文件下载漏洞作为最常见的WEB漏洞之一，在平常的渗透测试中经常遇到，但是很多人却并没有深入去想该如何利用这种漏洞，导致忽略了一些细节的信息。 0x02传统利用 1） 下载配置文件连数据库 通过任意文件下载漏洞下载网站配置文件，利用数据库配置信息远程连接数据库。 php：通过读取当前页面源码反向查找数据

继续阅读

云时空社会化商业ERP系统任意文件上传漏洞

发布于 作者:

云时空社会化商业ERP系统任意文件上传漏洞 原创 安全透视镜 网络安全透视镜 2023-12-19 19:56 一、漏洞描述 云时空商业ERP以大型集团供应链系统为支撑，是基于互联网技术的多渠道模式营销服务管理体系，可以整合线上和线下交易模式，覆盖企业经营管理应用各个方面。有效掌控全流程情况，敏捷捕捉消费者需求，快速响应市场变化，规避经营风险，以市场为导向，优化部署营销资源，协同产销、供应与服务，

继续阅读

【安全圈】微软审查发现Perforce Helix Core Server四个漏洞

发布于 作者:

【安全圈】微软审查发现Perforce Helix Core Server四个漏洞 安全圈 2023-12-19 19:00 关键词 安全漏洞 最近，Perforce Helix Core Server 披露了四个安全漏洞，其中一个被评定为“关键级别”的漏洞。 4个漏洞—— CVE-2023-5759（CVSS 评分 7.5）：通过滥用 RPC 标头，实现未经身份验证 （DoS）。 CVE-202

继续阅读

「漏洞挖掘实战」PPT来了| 一键领取

发布于 作者:

「漏洞挖掘实战」PPT来了| 一键领取 原创 干货满满的 字节跳动安全中心 2023-12-19 18:12 12月15日，第12期安全范儿技术沙龙「漏洞挖掘与实战」线上圆满结束！来自字节跳动无恒实验室、字节跳动云安全团队、中孚信息元亨实验室、武汉大学的4位安全专家，通过多维度、多视角的漏洞挖掘实战案例为线上的白帽师傅们带来精彩演讲。 安全范儿技术沙龙由字节跳动安全与风控发起，本次沙龙也得到元亨实

继续阅读

S2-045远程代码执行漏洞（CVE-2017-5638）

发布于 作者:

S2-045远程代码执行漏洞（CVE-2017-5638） 巢安实验室 巢安实验室 2023-12-19 18:04 漏洞简介 S2-045（CVE-2017-5638）是指Apache Struts 2框架中存在的一个严重的安全漏洞，该漏洞允许攻击者通过精心构造的恶意请求执行远程代码。这个漏洞的原理涉及到Apache Struts 2框架的文件上传组件（FileUploadInterceptor

继续阅读

未然通讯社：WordPress 插件漏洞影响5万余个网站；80%的泄露数据源自云端

发布于 作者:

未然通讯社：WordPress 插件漏洞影响5万余个网站；80%的泄露数据源自云端 未然实验室 华为安全 2023-12-19 18:02 往期推荐 未然通讯社：HTC Global遭遇勒索攻击；SpyLoan恶意软件Google Play下载量超千万 未然通讯社：即时通信软件Line遭遇数据泄露；国外医疗保健公司二次遭遇勒索攻击 未然通讯社：汽车零部件巨头 AutoZone 遭遇网络攻击；202

继续阅读

微软：热门源代码管理平台 Perforce Helix Core Server 中存在RCE漏洞

发布于 作者:

微软：热门源代码管理平台 Perforce Helix Core Server 中存在RCE漏洞 Bill Toulas 代码卫士 2023-12-19 17:47 聚焦源代码安全，网罗国内外最新资讯！**** 编译：代码卫士 微软在游戏、政府、军队和技术行业都在使用的源代码管理平台 Perforce Helix Core Server 上发现了四个漏洞，其中一个是严重等级。 微软公司的分析师对该

继续阅读

新3年旧3年又3年，堪比 Spring4Shell 的 GWT RCE 漏洞仍无补丁

发布于 作者:

新3年旧3年又3年，堪比 Spring4Shell 的 GWT RCE 漏洞仍无补丁 Becky Bracken 代码卫士 2023-12-19 17:47 聚焦源代码安全，网罗国内外最新资讯！**** 编译：代码卫士 距离第一次被发现过了超过8年后，游荡在热门开源应用框架 Google Web Toolkit (GWT) 中的未认证 Java 反序列化漏洞至今仍未被修复，易受攻击的应用可能需要根

继续阅读

漏洞通告 | 金蝶Apusic应用服务器远程代码执行漏洞

发布于 作者:

漏洞通告 | 金蝶Apusic应用服务器远程代码执行漏洞 原创 微步情报局 微步在线研究响应中心 2023-12-19 16:59 01 漏洞概况**** 金蝶Apusic应用服务 器（Kingdee Apusic Application Server）是金蝶软件推出的一款企业级Java应用服务器。它提供了一个稳定、高效、可扩展的运行环境，用于部署和管理企业级Java应用程序。 微步漏洞团队监测到

继续阅读

Xstream反序列化漏洞

发布于 作者:

Xstream反序列化漏洞 白帽子 2023-12-19 00:00 Xstream简介 XStream是Java类库，用来将对象序列化成XML （JSON）或 反序列化 为对象。 说白了就是我们可以将Java对象转换为XML，也可以将XML字符串转换为Java对象。 Xstream反序列化原理 XStream实现了一套序列化和反序列化机制，核心是通过Converter转换器来将XML和对象之间进

继续阅读

【Web渗透】暴力破解漏洞

发布于 作者:

【Web渗透】暴力破解漏洞 Whoami 晨曦安全团队 2023-12-18 23:59 “暴力破解 ”是一种攻击手段，在web攻击中，一般会使用这种手段对应用系统的认证信息进行获取。其过程就是使用大量的认证信息在认证接口进行尝试登录，直到得到正确的结果。 为了提高效率，暴力破解一般会使用带有字典的工具进行自动化操作。理论上来说，大多数系统都是可以被暴力破解的，只要攻击者有足够强大的计算能力和时间

继续阅读

​I Doc View在线文档预览系统存在任意文件读取漏洞 附POC

发布于 作者:

​I Doc View在线文档预览系统存在任意文件读取漏洞 附POC 南风漏洞复现文库 2023-12-18 23:33 I Doc View在线文档预览系统存在任意文件读取漏洞 免责声明：请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果与文章作者无关。该文章仅供学习用途使用。 1. I Do

继续阅读