月度归档： 2024 年 2 月

【安全圈】台湾合勤科技证实，Zyxel 修补防火墙产品中的远程代码执行错误

发布于 作者:

【安全圈】台湾合勤科技证实，Zyxel 修补防火墙产品中的远程代码执行错误 安全圈 2024-02-27 19:02 关键词 黑客勒索 台湾网络设备制造商合勤科技（Zyxel）针对其防火墙和接入点产品中的多个缺陷推出了补丁，并警告说未打补丁的系统存在远程代码执行攻击的风险。 Zyxel是一家一直在努力解决软件安全问题的公司，它记录了至少四个漏洞，这些漏洞使企业面临代码执行、命令注入和拒绝服务利用的

继续阅读

【安全圈】WordPress：严重 SQLi 漏洞威胁 200K+ 网站

发布于 作者:

【安全圈】WordPress：严重 SQLi 漏洞威胁 200K+ 网站 安全圈 2024-02-27 19:02 关键词 安全漏洞 一个名为 Ultimate Member 的流行 WordPress 插件中披露了一个严重的安全漏洞，该插件拥有超过 200,000 个活跃安装。 该漏洞被跟踪为 CVE-2024-1071，CVSS 得分为 9.8（满分 10 分）。安全研究员克里斯蒂安·斯维尔斯

继续阅读

【安全圈】Apple Shortcuts 存在高危漏洞，可能会导致用户敏感信息泄露

发布于 作者:

【安全圈】Apple Shortcuts 存在高危漏洞，可能会导致用户敏感信息泄露 安全圈 2024-02-27 19:02 关键词 安全漏洞 Apple Shortcuts 应用程序中存在一个高严重性漏洞，可允许攻击者在不提示用户的情况下访问敏感信息。 网络安全公司Bitdefender 解释说，该问题被标记为 CVE-2024-23204，影响 iOS 和 macOS 用户，只能通过某些操作触

继续阅读

【复现】aiohttp 路径遍历漏洞（CVE-2024-23334）的风险通告

发布于 作者:

【复现】aiohttp 路径遍历漏洞（CVE-2024-23334）的风险通告 原创 赛博昆仑CERT 赛博昆仑CERT 2024-02-27 18:58 赛博昆仑漏洞安全通告- aiohttp 路径遍历漏洞（CVE-2024-23334）的风险通告  漏洞描述 aiohttp是一个为Python提供异步HTTP 客户端/服务端编程，基于 asyncio(Python用于支持异步编程的标准库) 的

继续阅读

绿盟科技星云实验室获微软MSRC致谢|Azure数据库服务存在RCE漏洞

发布于 作者:

绿盟科技星云实验室获微软MSRC致谢|Azure数据库服务存在RCE漏洞 创新研究院 绿盟科技研究通讯 2024-02-27 15:30 一.  概述 Azure Database for PostgreSQL – Flexible Server [1]是基于开源 PostgreSQL数据库[2]引擎的关系数据库服务。它是完全托管的数据库即服务，能够处理任务关键型工作负荷，具有可预测的

继续阅读

漏洞通告 | aiohttp路径遍历漏洞

发布于 作者:

漏洞通告 | aiohttp路径遍历漏洞 原创 微步情报局 微步在线研究响应中心 2024-02-27 15:09 漏洞概况 aiohttp是一个用于异步网络编程的Python库，支持客户端和服务器端的网络通信。它利用Python的asyncio库来实现异步IO操作，这意味着它可以处理大量并发网络连接，而不会导致线程阻塞或性能下降。aiohttp常用于需要高性能网络通信的应用程序，如高频交易平台、

继续阅读

漏洞单价10万元！ByteSRC规则V6.0奖励计划叒升级！

发布于 作者:

漏洞单价10万元！ByteSRC规则V6.0奖励计划叒升级！ 字节跳动安全中心 2024-02-27 11:10 New rules ByteSRC奖金再提高！体验再升级！资源再丰富！ 《字节跳动安全响应中心安全报告处置规则V6.0》（试运行版）发布 在2月27日-3月18日试运行期间，欢迎大家提出宝贵意见！ ✨本次更新四大亮点✨ No.1 增加“重大漏洞”等级，奖励金最高至10W 优化漏洞等级体

继续阅读

cve漏洞搜索工具 — cvemap

发布于 作者:

cve漏洞搜索工具 — cvemap 吾爱破解 黑客白帽子 2024-02-27 07:00 感谢师傅 · 关注我们 由于，微信公众号推送机制改变，现在需要设置为星标才能收到推送消息。大家就动动发财小手设置一下呗！啾咪~~~ 0x01 工具介绍 ProjectDiscovery组织开发的CVEMap 是一个开源命令行界面 (CLI) 工具，可让您探索常见漏洞。它旨在提供一个简化且用户友

继续阅读

CVE-2024-22024

发布于 作者:

CVE-2024-22024 原创 fgz AI与网安 2024-02-27 07:00 免 责 申 明 ：本文内容为学习笔记分享，仅供技术学习参考，请勿用作违法用途，任何个人和组织利用此文所提供的信息而造成的直接或间接后果和损失，均由使用者本人负责，与作者无关！！！ 该漏洞EXP已公开传播，漏洞利用成本极低，建议您立即关注并修复。 01 — 漏洞名称 Ivanti Pulse Connect S

继续阅读

全球首个面向 AI/ML 的漏洞赏金平台

发布于 作者:

全球首个面向 AI/ML 的漏洞赏金平台 原创 Fighter 重生者安全 2024-02-26 22:32 huntr 为安全研究人员提供了一个提交漏洞的单一位置，以确保 AI/ML 应用程序（包括由开源软件 （OSS） 提供支持的应用程序）的安全性和稳定性。 平台地址：https://huntr.com/leaderboard 喜欢朋友可以点点赞转发转发。 免责声明：本公众号不承担任何由于传播

继续阅读

SQL注入漏洞引起的内网渗透 | 实战

发布于 作者:

SQL注入漏洞引起的内网渗透 | 实战 渗透安全团队 2024-02-26 22:06 一 、 前言 近期一直再学习内网渗透，实验什么的都是玩玩靶机。 这一天朋友说有个站点有漏洞，就发过来看了一些是一个SQL注入，继而开启了这次内网渗透。 水平有限，并且初学哈哈哈哈！ 没有什么技术要点纯属误打误撞，如果有什么错误的地方希望大佬多多指点！ 二 、 WEB点进入内网 这次渗透是从站库分离的情况下在深入

继续阅读

【漏洞预警】ConnectWise ScreenConnect身份验证绕过漏洞（CVE-2024-1709）

发布于 作者:

【漏洞预警】ConnectWise ScreenConnect身份验证绕过漏洞（CVE-2024-1709） cexlife 飓风网络安全 2024-02-26 21:13 漏洞描述: ConnectWise ScreenConnect是一款快速、灵活且安全的远程桌面和访问软件,可随时随地连接到任何设备,近日监测到ConnectWise ScreenConnect中修复了一个身份验证绕过漏洞（CV

继续阅读

鸿运(通天星CMSV6车载)主动安全监控云平台存在敏感信息泄露漏洞 附POC软件

发布于 作者:

鸿运(通天星CMSV6车载)主动安全监控云平台存在敏感信息泄露漏洞 附POC软件 南风徐来 南风漏洞复现文库 2024-02-26 20:42 免责声明：请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果与文章作者无关。该文章仅供学习用途使用。 1. 鸿运(通天星CMSV6车载)主动安全监控云平

继续阅读

鸿运(通天星CMSV6车载)主动安全监控云平台存在任意文件读取漏洞 附POC软件

发布于 作者:

鸿运(通天星CMSV6车载)主动安全监控云平台存在任意文件读取漏洞 附POC软件 南风徐来 南风漏洞复现文库 2024-02-26 20:42 免责声明：请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果与文章作者无关。该文章仅供学习用途使用。 1. 鸿运(通天星CMSV6车载)主动安全监控云平

继续阅读

不同端下的漏洞挖掘

发布于 作者:

不同端下的漏洞挖掘 原创 Str1am Str1am Record 2024-02-26 20:31 在日常的漏洞挖掘过程，经常会遇到某一系统存在多个不同端中，如常见的web端、桌面端、公众号端、小程序端、app端。 在这些端中经常会遇到一些问题，这里常遇到的，如接口适用、隐藏接口、接口规则猜解等问题，由于过程描述中涉及敏感信息会尽量添加图片进行说明。 某些系统不同端下的越权 在某次测试的过程中，

继续阅读

记一次逻辑漏洞挖洞经历

发布于 作者:

记一次逻辑漏洞挖洞经历 小安 迪哥讲事 2024-02-26 20:30 前言 前几天在网上冲浪的时候无意间看到了一个Edu的站点，是一个很常见的类似MOOC的那种在线学习系统，对外开放，同时有注册和登录功能。对于我这种常年低危的菜鸡来说，这是最愿意看到的，因为一个Web网站有了登录功能，就代表其网站必须要有权限划分，而有了权限划分，在这里的开发就容易出现很多问题，越权便是一种常见的问题。经过测试

继续阅读

「深蓝洞察」2023 年度最费钱的漏洞

发布于 作者:

「深蓝洞察」2023 年度最费钱的漏洞 原创 深蓝洞察 DARKNAVY 2024-02-26 19:48 22 年的一篇深蓝洞察 — 年度最具含金量漏洞 ，披露过当年、也是彼时历史上最大的单笔漏洞奖金，为 1000 万美元。 漏洞究竟价值如何，没有比  2023 年度发生的安全事件来得更直观的了。 以下为本期深蓝洞察年度安全报告的 第七篇 。 07 2023 年 9 月 27 日，一

继续阅读

【安全圈】注意！ScreenConnect 漏洞正被广泛利用于恶意软件传播

发布于 作者:

【安全圈】注意！ScreenConnect 漏洞正被广泛利用于恶意软件传播 安全圈 2024-02-26 19:02 关键词 安全漏洞 影响 ConnectWise 的 ScreenConnect 远程桌面访问产品的严重漏洞已被广泛利用来传播勒索软件和其他类型的恶意软件。 ConnectWise 于 2 月 19 日通知客户，它已发布针对关键身份验证绕过缺陷和高严重性路径遍历问题的补丁。该安全漏洞

继续阅读

上周关注度较高的产品安全漏洞(20240219-20240225)

发布于 作者:

上周关注度较高的产品安全漏洞(20240219-20240225) 原创 CNVD CNVD漏洞平台 2024-02-26 17:35 一、境外厂商产品漏洞 1、Shim缓冲区溢出漏洞 shim是一个SciDB的简单HTTP服务。Shim存在安全漏洞，该漏洞源于http启动支持中包含远程代码执行漏洞，可以绕过安全启动。攻击者可利用该漏洞执行任意代码。 参考链接： https://www.cnvd.

继续阅读

雷神众测漏洞周报2024.2.19-2024.2.25

发布于 作者:

雷神众测漏洞周报2024.2.19-2024.2.25 原创 雷神众测 雷神众测 2024-02-26 15:39 摘要 以下内容，均摘自于互联网，由于传播，利用此文所提供的信息而造成的任何直接或间接的后果和损失，均由使用者本人负责，雷神众测以及文章作者不承担任何责任。雷神众测拥有该文章的修改和解释权。如欲转载或传播此文章，必须保证此文章的副本，包括版权声明等全部内容。声明雷神众测允许，不得任意修

继续阅读

新的 Linux glibc 漏洞可使网络攻击者获得主要发行版 root 权限

发布于 作者:

新的 Linux glibc 漏洞可使网络攻击者获得主要发行版 root 权限 网络安全应急技术国家工程中心 2024-02-26 15:04 非特权攻击者可以利用 GNU C 库 (glibc) 中新披露的本地权限提升 (LPE) 漏洞，在默认配置下获得多个主要 Linux 发行版的 root 访问权限。 该安全漏洞被追踪为CVE-2023-6246，是在 glibc 的 __vsyslog_i

继续阅读

新 Wi-Fi 漏洞导致 Android 和 Linux 设备近乎“裸奔”；

发布于 作者:

新 Wi-Fi 漏洞导致 Android 和 Linux 设备近乎“裸奔”； 网安百色 2024-02-25 19:39 新 Wi-Fi 漏洞导致 Android 和 Linux 设备近乎“裸奔”； 网络安全研究人员发现，在安卓、Linux 和 ChromeOS 设备的开源 Wi-Fi 软件中存在两个身份验证绕过漏洞。据悉，安全漏洞可能诱使用户加入合法网络的恶意“克隆”，允许威胁攻击者在没有密码的

继续阅读

【安全圈】警告！ConnectWise 漏洞正被广泛利用，数千台服务器面临危险

发布于 作者:

【安全圈】警告！ConnectWise 漏洞正被广泛利用，数千台服务器面临危险 安全圈 2024-02-25 19:00 关键词 安全漏洞 ConnectWise 周二表示，一个严重的 ConnectWise ScreenConnect 漏洞正在被广泛利用，该漏洞使数千台服务器面临被接管的风险。 ConnectWise周一发布了 ScreenConnect 23.9.7 的安全修复程序，披露了两个

继续阅读

[经验分享]-SRC漏洞挖掘之道

发布于 作者:

[经验分享]-SRC漏洞挖掘之道 点击关注👉 马哥网络安全 2024-02-25 18:00 一个 SRC 混子挖 SRC 的半年经验分享~, 基本都是文字阐述，希望能给同样在挖洞的师傅们带来一点新收获。 前期信息收集 还是那句老话, 渗透测试的本质是信息收集，对于没有 0day 的弱鸡选手来说，挖 SRC 感觉更像是对企业的资产梳理，我们往往需要花很长的时间去做信息收集，收集与此公司相关的信息，

继续阅读

开源应用程序导致 XSS 到 RCE 漏洞缺陷

发布于 作者:

开源应用程序导致 XSS 到 RCE 漏洞缺陷 Ots安全 2024-02-25 17:09 跨站脚本 (XSS) 是 Web 应用程序中最常见的攻击之一。如果攻击者可以将 JavaScript 代码注入应用程序输出中，这不仅会导致 cookie 盗窃、重定向或网络钓鱼，而且在某些情况下还会导致系统完全受损。 在本文中，我将展示如何在 Evolution CMS、FUDForum 和 GitBuc

继续阅读