月度归档： 2024 年 5 月

代码审计-某人工智能语音系统多处文件上传+命令执行

发布于 作者:

代码审计-某人工智能语音系统多处文件上传+命令执行 原创 月金剑客 剑客古月的安全屋 2024-05-22 22:41 🌟  ❤️ 作者：yueji0j1anke 首发于公号：剑客古月的安全屋 字数：801 阅读时间:    10min 声明：请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，文章作者不为此承担任何责任。合

继续阅读

开源数据大屏AJ-Report远程命令执行漏洞

发布于 作者:

开源数据大屏AJ-Report远程命令执行漏洞 小白菜安全 小白菜安全 2024-05-22 22:17 免责声明 该公众号主要是分享互联网上公开的一些漏洞poc和工具， 利用本公众号所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，本公众号及作者不为此承担任何责任，一旦造成后果请自行承担！如果本公众号分享导致的侵权行为请告知，我们会立即删除并道歉。 漏洞影响范围 漏洞复现 p

继续阅读

Zabbix zbx_auditlog_global_script SQL注入漏洞（CVE-2024-22120）

发布于 作者:

Zabbix zbx_auditlog_global_script SQL注入漏洞（CVE-2024-22120） 原创 simeon的文章 小兵搞安全 2024-05-22 22:16 Zabbix是一个开源的监控软件工具，旨在帮助IT专业人士实时监控和确保各种网络服务、服务器及应用程序的稳定性和性能。它为监控IT基础设施提供了全面的解决方案，从网络设备、服务器、数据库到云服务和虚拟机均涵盖在内

继续阅读

如何快速挖掘漏洞

发布于 作者:

如何快速挖掘漏洞 迪哥讲事 2024-05-22 21:13 前言： 闲来有空，落个笔，本来是想每个漏洞都分开写专题的，凑文章数量。 但是想来想去，对于如果是常规的漏洞的话，其实挖来挖去核心逻辑其实都是那些东西，所以对相关的文章又进行了一个删除。 这里写一篇文章，当然也可以说是一篇关于笔者使用相关工具介绍的文章，捡过很多漏洞。 正文： 在笔者看来，其实针对一个网站做渗透测试也好，针对一套代码做代码

继续阅读

信息安全漏洞周报（2024年第21期）

发布于 作者:

信息安全漏洞周报（2024年第21期） 网安百色 2024-05-22 19:34 点击蓝字 关注我们 根据国家信息安全漏洞库（CNNVD）统计，本周（2024年5月13日至2024年5月19日）安全漏洞情况如下： 公开漏洞情况 本周CNNVD采集安全漏洞1632个。 接报漏洞情况 本周CNNVD接报漏洞7076个，其中信息技术产品漏洞（通用型漏洞）176个，网络信息系统漏洞（事件型漏洞）21个，

继续阅读

【安全圈】可绕过身份验证，GitHub 企业服务器曝满分漏洞，附 PoC

发布于 作者:

【安全圈】可绕过身份验证，GitHub 企业服务器曝满分漏洞，附 PoC 安全圈 2024-05-22 19:01 关键词 漏洞 近日，安全研究人员披露了GitHub企业服务器（GHES）的关键漏洞（CVE-2024-4985，cvss得分：10.0），该漏洞允许未经授权的攻击者，在不需要预先认证的情况下访问GHES实例。漏洞影响所有GHES 3.13.0之前的版本，并在3.9.15、3.10.1

继续阅读

GitHub警告其企业服务器存在满分认证绕过漏洞

发布于 作者:

GitHub警告其企业服务器存在满分认证绕过漏洞 看雪学苑 看雪学苑 2024-05-22 17:59 近日，GitHub披露了其企业服务器中的一个认证绕过漏洞，可能允许攻击者绕过认证并获取对敏感存储库及数据的未授权访问。 据了解，该认证绕过漏洞(CVE-2024-4985，CVSS评分为10分)影响的是GitHub Enterprise Server（GHES）——GHES是一个用于软件开发的自

继续阅读

Veeam：Backup Enterprise Manager 中存在严重的认证绕过漏洞

发布于 作者:

Veeam：Backup Enterprise Manager 中存在严重的认证绕过漏洞 Sergiu Gatlan 代码卫士 2024-05-22 17:39 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 Veeam 提醒客户称修复一个严重漏洞，它可导致未认证攻击者通过 Veeam Backup Enterprise Manager (VBEM) 登录任何账户。 VBEM 是一款基于 w

继续阅读

GitHub 企业服务器中存在严重漏洞，可导致认证绕过

发布于 作者:

GitHub 企业服务器中存在严重漏洞，可导致认证绕过 THN 代码卫士 2024-05-22 17:39 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 GitHub 修复了位于GitHub 企业服务器 (GHES) 中的一个CVSS满分漏洞CVE-2024-4985，它可导致攻击者绕过认证防护措施。 CVE-2024-4985可使攻击者在无需提前认证的情况下，越权访问实例。该公司发布安全

继续阅读

实战攻防季：主动猎捕，让0day漏洞无处遁形！

发布于 作者:

实战攻防季：主动猎捕，让0day漏洞无处遁形！ 智安全 深信服千里目安全技术中心 2024-05-22 17:10 2024实战攻防演练即将开启。 伴随网络安全形势日益复杂，攻击方的攻击手段不断升级，0day漏洞的利用也愈发频繁，成为防守方必须警惕的“隐形陷阱”。在实战较量中，防御一旦出现滞后则可能带来严重的安全风险。 2023 年深瞳漏洞实验室猎捕到100+个 Web 场景下的在野利用 0day

继续阅读

产品频曝严重漏洞，罗克韦尔向全球客户发出紧急断网通知

发布于 作者:

产品频曝严重漏洞，罗克韦尔向全球客户发出紧急断网通知 安全内参 2024-05-22 17:03 关注我们 带你读懂网络安全 近日，在产品接连曝出多个严重漏洞后，工业自动化巨头罗克韦尔（Rockwell Automation）向其全球客户发出紧急通知，要求他们立即采取行动切断所有未设计用于连接互联网的工业控制系统(ICS)与互联网的连接，原因是全球地缘政治局势紧张，（针对罗克韦尔设备的）网络攻击活

继续阅读

漏洞通告 | 猎鹰安全终端安全系统 V9 远程代码执行漏洞

发布于 作者:

漏洞通告 | 猎鹰安全终端安全系统 V9 远程代码执行漏洞 原创 微步情报局 微步在线研究响应中心 2024-05-22 16:30 漏洞概况 猎鹰安全终端安全系统V9 是专门为政府、军工、能源、教育、医疗及集团化企业设计的终端安全管理平台。 近日，微步漏洞团队获取到两个猎鹰安全终端安全系统V9 远程代码执行漏洞情报（https://x.threatbook.com/v5/vul/XVE-2023

继续阅读

【复现】Nexus Repository3 任意文件下载漏洞的风险通告

发布于 作者:

【复现】Nexus Repository3 任意文件下载漏洞的风险通告 原创 赛博昆仑CERT 赛博昆仑CERT 2024-05-22 16:16 赛博昆仑漏洞安全通告- Nexus Repository3 任意文件下载漏洞的风险通告  漏洞描述 近日，赛博昆仑CERT监测到 Sonatype Nexus Repository3 任意文件下载漏洞（CVE-2024-4956）的漏洞情报。Sonat

继续阅读

雷神众测漏洞周报2024.05.13-2024.05.19

发布于 作者:

雷神众测漏洞周报2024.05.13-2024.05.19 原创 雷神众测 雷神众测 2024-05-22 15:01 摘要 以下内容，均摘自于互联网，由于传播，利用此文所提供的信息而造成的任何直接或间接的后果和损失，均由使用者本人负责，雷神众测以及文章作者不承担任何责任。雷神众测拥有该文章的修改和解释权。如欲转载或传播此文章，必须保证此文章的副本，包括版权声明等全部内容。声明雷神众测允许，不得任

继续阅读

Fluent Bit高危漏洞威胁全球云计算大厂

发布于 作者:

Fluent Bit高危漏洞威胁全球云计算大厂 关键基础设施安全应急响应中心 2024-05-22 14:54 Fluent Bit是一个极为流行的开源多平台日志处理器工具，近日曝出高危漏洞，波及全球几乎所有主流云服务商和众多科技巨头。 Fluent Bit不仅兼容Windows、Linux和macOS系统，还嵌入在各大主流Kubernetes发行版中，其中就包括亚马逊AWS、谷歌GCP和微软Az

继续阅读

Fluent Bit 严重漏洞影响所有主流云提供商

发布于 作者:

Fluent Bit 严重漏洞影响所有主流云提供商 SERGIU GATLAN 代码卫士 2024-05-21 17:32 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 Fluent Bit 中存在一个严重漏洞，可被用于拒绝服务和远程代码执行攻击中，影响所有主流云提供商和很多技术巨头。 Fluent Bit 是一款极其热门的日志和度量解决方案，适用于主流Kubernetes 发行版本内嵌的

继续阅读

上周关注度较高的产品安全漏洞(20240513-20240519)

发布于 作者:

上周关注度较高的产品安全漏洞(20240513-20240519) 国家互联网应急中心CNCERT 2024-05-21 14:08 一、境外厂商产品漏洞 1、 Apache James MIME4J输入验证错误漏洞 Apache James MIME4J 是美国阿帕奇（ Apache ）基金会的一个库。可用于解析纯 rfc822 和 MIME 格式的电子邮件消息流，并构建电子邮件消息的树表示。

继续阅读

2024 年第一季度漏洞和漏洞利用趋势分析

发布于 作者:

2024 年第一季度漏洞和漏洞利用趋势分析 山卡拉 嘶吼专业版 2024-05-21 14:00 在本报告中，卡巴斯基提供了一系列具有洞察力的统计和分析快照，涉及新漏洞和漏洞利用的趋势，以及攻击者最常使用的漏洞。此外，本报告还研究了 2024 年第一季度发现的几个值得注意的漏洞。 已登记漏洞统计 为了更好地管理漏洞，供应商可以注册这些漏洞并分配 CVE 标识符。所有标识符和相关公共信息均发布在 h

继续阅读

Gradio component_server存在任意文件读取漏洞复现(CVE-2024-1561)CVE-2024-1561

发布于 作者:

Gradio component_server存在任意文件读取漏洞复现(CVE-2024-1561)CVE-2024-1561 南风徐来 南风漏洞复现文库 2024-05-20 23:07 免责声明：请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果与文章作者无关。该文章仅供学习用途使用。 1.

继续阅读

JAVA安全-Shiro-550反序列化漏洞分析

发布于 作者:

JAVA安全-Shiro-550反序列化漏洞分析 原创 菜狗安全 菜狗安全 2024-05-20 22:12 点击上方蓝字·关注我们 免责声明 由 于 传 播 、 利 用 本 公 众 号 菜 狗 安 全 所 提 供 的 信 息 而 造 成 的 任 何 直 接 或 者 间 接 的 后 果 及 损 失 ， 均 由 使 用 者 本 人 负 责 ， 公 众 号 菜 狗 安 全 及 作 者 不 为 此 承

继续阅读

记某src通过越权拿下高危漏洞

发布于 作者:

记某src通过越权拿下高危漏洞 小*咔 Z2O安全攻防 2024-05-20 20:35 点击上方[蓝字]，关注我们 建议大家把公众号“Z2O安全攻防”设为星标，否则可能就看不到啦！ 因为公众号现在只对常读和星标的公众号才能展示大图推送。操作方法：点击右上角的【…】，然后点击【设为星标】即可。 免责声明 本文仅用于技术讨论与学习，利用此文所提供的信息而造成的任何直接或者间接的后果及损失

继续阅读

安全热点周报：谷歌、微软等厂商发布紧急补丁，防范本周新增的七个在野利用漏洞

发布于 作者:

安全热点周报：谷歌、微软等厂商发布紧急补丁，防范本周新增的七个在野利用漏洞 奇安信 CERT 2024-05-20 19:42 安全资讯导视  • 国家安全部：境外一非政府组织非法搜集窃取我国自然保护区核心敏感数据 • 因供应商被黑，欧洲银行巨头桑坦德银行所有员工和多国客户数据泄露 • 美国CISA等多国机构发布公民社会网络安全指南 PART01 漏洞情报 1.Google Chrome V8类型

继续阅读

【已复现】Git 远程代码执行漏洞(CVE-2024-32002)安全风险通告

发布于 作者:

【已复现】Git 远程代码执行漏洞(CVE-2024-32002)安全风险通告 奇安信 CERT 2024-05-20 19:42 ●  点击↑蓝字关注我们，获取更多安全风险通告 漏洞概述 漏洞名称 Git 远程代码执行漏洞 漏洞编号 QVD-2024-18126,CVE-2024-32002 公开时间 2024-05-14 影响量级 万级 奇安信评级 高危 CVSS 3.1分数 8.3 威胁类型

继续阅读