月度归档： 2025 年 1 月

Google Cloud研究人员揭露Rsync文件同步工具中的多个安全漏洞

发布于 作者:

Google Cloud研究人员揭露Rsync文件同步工具中的多个安全漏洞 Hankzheng 技术修道场 2025-01-21 05:31 近日，Google Cloud漏洞研究团队的Simon Scannell、Pedro Gallegos和Jasiel Spelman在Unix系统上广泛使用的文件同步工具Rsync中发现了多达六个安全漏洞。这些漏洞中，部分可被攻击者利用在客户端上执行任意代码

继续阅读

7-Zip高危漏洞预警:关于CVE-2025-0411漏洞的应对指南

发布于 作者:

7-Zip高危漏洞预警:关于CVE-2025-0411漏洞的应对指南 原创 mayfly42 独眼情报 2025-01-21 05:17 📢 漏洞预警📢 漏洞核心信息 编号：CVE-2025-0411 CVSS评分：7.0（高危级） 影响范围：24.09之前所有7-Zip版本 发现者：Trend Micro ZDI研究员Peter Girnus 攻击路径：通过伪造压缩包绕过Windows文件安全标

继续阅读

2025年十大最佳漏洞管理工具

发布于 作者:

2025年十大最佳漏洞管理工具 e安在线 e安在线 2025-01-21 05:01 在检测、分析，和修补Web以及网络应用程序中的漏洞方面，漏洞管理工具都发挥着重要的作用。 安全领域常用的术语包括漏洞、风险和威胁。漏洞是指系统中可能造成威胁的弱点，风险是指潜在的损害或损失，威胁是指利用漏洞造成的不利事件。发现这些弱点是保护公司资产和数据的关键。 漏洞管理工具的目标是识别问题。许多公司和安全研究人

继续阅读

SecScan强大的端口扫描与漏洞扫描工具——梭哈！！！

发布于 作者:

SecScan强大的端口扫描与漏洞扫描工具——梭哈！！！ Secu的矛与盾 Secu的矛与盾 2025-01-21 04:50 介绍 SecScan 是一款集漏洞探测、端口扫描、指纹识别为一体的安全工具，拥有多样化的漏洞检测方法，支持对目标自动化进行 端口扫描->指纹识别->服务口令探测->漏洞探测 流程，旨在帮助用户/红队选手快速发现漏洞风险，提升漏洞管理效率。 核心亮点 一、

继续阅读

工具集：BucketVulTools 【存储桶配置不当漏洞检测插件】

发布于 作者:

工具集：BucketVulTools 【存储桶配置不当漏洞检测插件】 wolven Chan 风铃Sec 2025-01-21 04:18 工具介绍 Burpsuite存储桶配置不当漏洞检测插件，目前支持阿里云，华为云，腾讯三个厂商的检测，存储桶文件遍历，acl读写，Policy读写及未授权上传。 用法 存储桶相关配置检测自动化，访问目标网站将会自动检测，如：访问的网站引用存储桶上的静态资源，就会

继续阅读

锐捷-Smartweb管理系统-密码信息泄露漏洞

发布于 作者:

锐捷-Smartweb管理系统-密码信息泄露漏洞 骇客安全 骇客安全 2025-01-21 03:00 漏洞描述 锐捷网络股份有限公司无线smartweb管理系统存在逻辑缺陷漏洞，攻击者可从漏洞获取到管理员账号密码，从而以管理员权限登录。 漏洞影响 锐捷网络股份有限公司 无线smartweb管理系统 FOFA title="无线smartWeb–登录页面" 漏洞复现 登录页面

继续阅读

年度报告 | 2024年应该知道的漏洞都在这了！

发布于 作者:

年度报告 | 2024年应该知道的漏洞都在这了！ 原创 奇安信 CERT 奇安信 CERT 2025-01-21 03:00 2024 年度 网络安全漏洞态势 2024年，全球网络安全领域继续面对日益严峻的挑战。在数字化转型的大背景下，漏洞利用成为网络攻击的重中之重。根据统计，全球新增漏洞数量再创新高，漏洞的复杂性加剧，修复周期也在不断缩短。然而，攻击者的手段日趋复杂，基于漏洞的攻击路径更加隐蔽且

继续阅读

一个支持被动代理的调用 KIMI AI 进行越权漏洞检测的工具

发布于 作者:

一个支持被动代理的调用 KIMI AI 进行越权漏洞检测的工具 黑白之道 2025-01-21 01:53 工具介绍 利用工作之余（摸鱼）时间花 2 小时完成的小工具，简易版支持通过被动代理调用 KIMI AI 进行越权漏洞检测，检测能力依赖 KIMI API 实现。目前功能较为基础，尚未优化输出，也未加入扫描失败后的重试机制等功能。 工作流程 使用方法 下载源代码； 编辑config.go文件，

继续阅读

电诈保护伞？虚拟号漏洞发现与利用

发布于 作者:

电诈保护伞？虚拟号漏洞发现与利用 原创 Qin. 无尽藏攻防实验室 2025-01-21 00:49 网络安全为人民 师傅们好👋：本公众号现在已开启对常读和星标的公众号展示大图推送，为了不错过我们的网络安全干货，请星标🌟我们。这样，您就能快速掌握最新动态，与我们共同守护网络空间！感谢您的关注和支持！💖 0x01 前言 最近给某单位做渗透的时候挖到一个虚拟号的逻辑漏洞，本来是想写全网首发的，但是可惜

继续阅读

一款java漏洞集合工具

发布于 作者:

一款java漏洞集合工具 Hyacinth 安全之眼SecEye 2025-01-21 00:10 点击上方「蓝字」，关注我们 因为公众号现在只对常读和星标的公众号才能展示大图推送，建议大家进行星标 。操作方法：点击右上角的【…】，然后点击【设为星标】即可。 01 免责声明 免责声明： 该公众号分享的安全工具和项目均来源于网络，仅供安全研究与学习之用，如用于其他用途，由使用者承担全部法

继续阅读

漏洞预警 | 飞企互联FE业务协作平台SQL注入、远程代码执行和任意文件上传漏洞

发布于 作者:

漏洞预警 | 飞企互联FE业务协作平台SQL注入、远程代码执行和任意文件上传漏洞 浅安 浅安安全 2025-01-21 00:02 0x00 漏洞编号 – # 暂无 0x01 危险等级 – 高危 0x02 漏洞概述 飞企互联FE业务协作平台是由飞企互联开发的一款企业级业务协作管理平台，旨在通过数字化工具提升企业协作效率，实现业务流程的全方位优化。 0x03 漏洞详情 漏洞类

继续阅读

漏洞预警 | 九思OA任意文件读取漏洞

发布于 作者:

漏洞预警 | 九思OA任意文件读取漏洞 浅安 浅安安全 2025-01-21 00:02 0x00 漏洞编号 – # 暂无 0x01 危险等级 – 高危 0x02 漏洞概述 九思OA办公自动化系统平台基于开发JAVA语言开发，封装了大量接口、构件，以多维门户形式展现，OA系统支持各种部署模式、各种操作系统、各种数据库和中间件，并具备完备的配置体系、接口体系和插件体系，支持未

继续阅读

XXL-job漏洞综合利用工具

发布于 作者:

XXL-job漏洞综合利用工具 pureqh 夜组科技圈 2025-01-21 00:01 公众号现在只对常读和星标的才展示大图推送， 建议大家把 夜组科技圈 设为 星标 ，接收一手资讯！ 工具介绍 xxl-job-attack，xxl-job漏洞综合利用工具 检测漏洞 1、默认口令 2、api接口未授权Hessian反序列化 3、Executor未授权命令执行 4、默认accessToken身份

继续阅读

SimpleHelp远程访问软件曝高危漏洞，可导致文件窃取、权限提升和远程代码执行

发布于 作者:

SimpleHelp远程访问软件曝高危漏洞，可导致文件窃取、权限提升和远程代码执行 Hankzheng 技术修道场 2025-01-21 00:01 近日，网络安全研究人员披露了SimpleHelp远程访问软件中的多个安全漏洞，这些漏洞可能导致信息泄露、权限提升和远程代码执行（RCE）。Horizon3.ai研究员Naveen Sunkavally在一份技术报告中指出，这些漏洞“极易被逆向和利用”

继续阅读

T1059.009 命令执行：云API异常调用

发布于 作者:

T1059.009 命令执行：云API异常调用 原创 DarkLuke SecLink安全空间 2025-01-20 18:38 全文共计1548字，预计阅读8分钟 在本系列文章中，我们将探讨基于Mitre ATT&CK框架的TTP战术，如何在不同环境（云、企业、ICS）和场景下制定行之有效的检测规则，并且围绕实际攻击场景、检测、响应与调优展开。 本文主要介绍「T1059.009 云API

继续阅读

【漏洞预警】ZZCMS index.php SQL注入漏洞(CVE-2025-0565)

发布于 作者:

【漏洞预警】ZZCMS index.php SQL注入漏洞(CVE-2025-0565) cexlife 飓风网络安全 2025-01-20 15:42 漏洞描述:ZZCMS 2023中发现了一个严重漏洞。该漏洞影响了文件/index.php中的某些未知功能,操纵参数id会导致SQL注入,攻击可能是远程发起的,该漏洞已被公开披露并可被利用。 官方解决方案:建议您更新当前系统或软件至最新版，完成漏洞

继续阅读

因WordPress新漏洞，全球数百万网站面临被攻击风险

发布于 作者:

因WordPress新漏洞，全球数百万网站面临被攻击风险 BaizeSec 白泽安全实验室 2025-01-20 15:31 一、事件背景概述 W3 Total Cache是一款在WordPress社区中广受欢迎的性能优化插件，安装量超过一百万。它通过综合的缓存策略和优化技术，显著提升了网站的加载速度和用户体验，同时降低了服务器负载。然而，根据最新披露的信息，该插件存在一个严重的安全漏洞，可能使网

继续阅读

如何mongodb未授权访问漏洞

发布于 作者:

如何mongodb未授权访问漏洞 原创 Wuli王蜀黎 三沐数安 2025-01-20 14:59 1. mongodb安装 2. 未授权访问漏洞 3. 漏洞修复及加固 4. 自动化检测点 mongodb安装 apt-get install mongodb 0x1: 创建数据库目录 MongoDB的数据存储在data目录的db目录下，但是这个目录在安装过程不会自动创建，所以你需要手动创建data目

继续阅读

意外发现谷歌Slides越权漏洞，获得赏金$3133.70的故事

发布于 作者:

意外发现谷歌Slides越权漏洞，获得赏金$3133.70的故事 Z2O安全攻防 2025-01-20 13:03 声明：文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由用户承担全部法律及连带责任，文章作者不承担任何法律及连带责任。 背景介绍 某一天悠闲的午后，白帽小哥Atikqur坐在办公桌前，在 Google Slides 上准备着一场活动的演讲稿。

继续阅读

金盾信安 | 网络和数据领域资讯第44期(2025.1.14-2025.1.20)

发布于 作者:

金盾信安 | 网络和数据领域资讯第44期(2025.1.14-2025.1.20) 金盾信安 2025-01-20 12:37 KINGDUNS 本周热点 国家发改委等部门印发《关于完善数据流通安全治理 更好促进数据要素市场化价值化的实施方案》 工信部发布《加强互联网数据中心客户数据安全保护》 河南省数据工作会议在郑州召开 河南省中原数据规划设计研究院揭牌成立 中央网信办启动“清朗·2025年春节

继续阅读

利用 Windows 常见日志文件系统零日漏洞 （CVE-2024-49138）

发布于 作者:

利用 Windows 常见日志文件系统零日漏洞 （CVE-2024-49138） 网安百色 2025-01-20 11:36 点击上方 蓝字 关注我们吧~ Windows 通用日志文件系统 （CLFS） 驱动程序中的零日漏洞，编号为 CVE-2024-49138。 CrowdStrike 的高级研究团队发现了这个关键漏洞，它允许攻击者在不需要用户交互的情况下将权限升级到系统级别，从而对 Windo

继续阅读

严重远程代码执行漏洞（CVE-2024-53691）在QNAP 系统中被发现

发布于 作者:

严重远程代码执行漏洞（CVE-2024-53691）在QNAP 系统中被发现 网安百色 2025-01-20 11:36 点击上方 蓝字 关注我们吧~ 近日，在QNAP的QTS和QuTS hero操作系统中发现了一个高风险的远程代码执行（RCE）漏洞，编号为CVE-2024-53691。该漏洞CVSS v4评分为8.7，表明其具有极高的危险性，可使攻击者通过特制的ZIP文件上传符号链接，进而获得任

继续阅读

WGS-804HPT 交换机中存在多个严重漏洞，可导致RCE和网络利用

发布于 作者:

WGS-804HPT 交换机中存在多个严重漏洞，可导致RCE和网络利用 THN 代码卫士 2025-01-20 10:23 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 网络安全研究员在 Planet技术公司的 WGS-804HPT工业交换机中存在三个漏洞，它们可被用于在可疑设备上实现预认证远程代码执行。 上周四，Claroty 公司的研究员 Tomer Goldschmidt发布报告提到

继续阅读

开源工具 rsync 曝重大漏洞，黑客可越界写入缓冲区远程执行代码

发布于 作者:

开源工具 rsync 曝重大漏洞，黑客可越界写入缓冲区远程执行代码 看雪学苑 看雪学苑 2025-01-20 09:59 近日，开源文件同步工具 rsync 被曝存在多个严重安全漏洞，其中最严重的漏洞允许黑客通过越界写入缓冲区的方式远程执行代码。这一消息引发了广泛的关注，尤其是对于使用 rsync 的企业和个人用户来说，安全风险迫在眉睫。 据 Red Hat 产品安全工程师 Nick Tait 介

继续阅读

漏洞预警 NetMizer 日志审计 axx.php sql注入漏洞

发布于 作者:

漏洞预警 NetMizer 日志审计 axx.php sql注入漏洞 by 融云安全-sm 融云攻防实验室 2025-01-20 09:56 0x01 阅读须知 融云安全的技术文章仅供参考，此文所提供的信息只为网络安全人员对自己所负责的网站、服务器等（包括但不限于）进行检测或维护参考，未经授权请勿利用文章中的技术资料对任何计算机系统进行入侵操作。利用此文所提供的信息而造成的直接或间接后果和损失，均

继续阅读

【风险通告】Rsync存在多个高危漏洞

发布于 作者:

【风险通告】Rsync存在多个高危漏洞 安恒研究院 安恒信息CERT 2025-01-20 09:50 漏洞公告 近日，安恒信息CERT监测到Rsync存在多个高危漏洞，由于代码中未正确处理攻击者控制的校验和长度（s2length），当MAX_DIGEST_LEN超过固定SUM_LENGTH（16字节）时，攻击者可以在sum2缓冲区中越界写入（CVE-2024-12084）。当Rsync比较文件校

继续阅读

泛微-云桥e-Bridge checkMobile SQL注入漏洞(XVE-2024-34435)

发布于 作者:

泛微-云桥e-Bridge checkMobile SQL注入漏洞(XVE-2024-34435) Superhero nday POC 2025-01-20 09:16 内容仅用于学习交流自查使用，由于传播、利用本公众号所提供的 POC 信息及 POC对应脚本 而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号nday poc及作者不为此承担任何责任，一旦造成后果请自行承担！如文章

继续阅读