月度归档： 2025 年 3 月

​Veeam 备份服务器现重大漏洞，速更新补丁！

发布于 作者:

​Veeam 备份服务器现重大漏洞，速更新补丁！ 看雪学苑 看雪学苑 2025-03-21 17:59 近期 Veeam Backup & Replication 软件被曝出一项严重的远程代码执行漏洞（CVE-2025-23120），给众多企业和组织的数据安全带来了巨大风险。 据相关报道，该漏洞是由 watchTowr Labs 发现的，主要影响 Veeam Backup & Re

继续阅读

国家互联网信息办公室、公安部联合公布《人脸识别技术应用安全管理办法》；​IBM AIX曝满分高危漏洞，可导致系统完全沦陷 |牛览

发布于 作者:

国家互联网信息办公室、公安部联合公布《人脸识别技术应用安全管理办法》；​IBM AIX曝满分高危漏洞，可导致系统完全沦陷 |牛览 安全牛 2025-03-21 17:36 新闻速览 •国家互联网信息办公室、公安部联合公布《人脸识别技术应用安全管理办法》 •英国NCSC设定2035年为后量子密码迁移最后期限，提出三阶段迁移计划 •警惕新型隐写术恶意软件，利用JPEG文件分发信息窃取程序 •Cisco

继续阅读

大模型如何挖漏洞 | 正在直播

发布于 作者:

大模型如何挖漏洞 | 正在直播 字节跳动安全中心 2025-03-21 13:55 15 安全范儿沙龙正在直播 直播地址： https://live.byteoc.com/2267/sec15 字节安全如何用 大模型挖洞 LLM安全风险发现与治理 大模型在 SDLC自动化评审的实践 DeepSeek是如何被攻击的 识别下方二维码跳转直播 点击原文链接，一键抵达直播现场

继续阅读

PHP XXE 注入漏洞允许攻击者访问配置文件和私钥

发布于 作者:

PHP XXE 注入漏洞允许攻击者访问配置文件和私钥 嘶吼专业版 2025-03-21 11:07 Web 应用程序安全研究员 Aleksandr Zhurnakov 详细揭示了 PHP 中新发现的 XML 外部实体（XXE）注入漏洞。 该漏洞展示了攻击者如何绕过多种安全机制，进而访问敏感配置文件和私钥，凸显了即便在看似安全的实现中，不当的 XML 解析配置也存在巨大风险。 此漏洞利用了 PHP

继续阅读

【高危漏洞预警】ollama 0.1.37 ZipSlip远程代码执行漏洞

发布于 作者:

【高危漏洞预警】ollama 0.1.37 ZipSlip远程代码执行漏洞 cexlife 飓风网络安全 2025-03-20 22:50 漏洞描述: оllаmа/оllаmа版本0.137中存在一个漏洞,允许远程代码执行（RCE）,这是由于在处理ziр文件时输入验证不当造成的,这个漏洞被称为ZiрSliр,发生在ѕеrvеr/mоdеl.ɡо中的раrѕеFrоmZiрFilе函数代码没有检查

继续阅读

CVE-2025-24813-PoC：Apache Tomcat 远程代码执行漏洞批量检测脚本

发布于 作者:

CVE-2025-24813-PoC：Apache Tomcat 远程代码执行漏洞批量检测脚本 z1 Z1sec 2025-03-20 22:41 免责声明： 由于传播、利用本公众号Z1sec所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号及作者不为此承担任何责任，一旦造成后果请自行承担！如有侵权烦请告知，我们会立即删除并致歉。谢谢！ GitHub – iS

继续阅读

SRC漏洞挖掘之敏感信息泄露漏洞挖掘实战指南

发布于 作者:

SRC漏洞挖掘之敏感信息泄露漏洞挖掘实战指南 原创 炽汐安全屋 炽汐安全屋 2025-03-20 22:10 SRC漏洞挖掘之敏感信息泄露漏洞挖掘实战指南在Web应用安全中，敏感信息泄露是最常见且危害性最大的漏洞之一。通过敏感信息泄露，攻击者可以获取用户数据、系统配置、源代码甚至数据库信息，从而进一步发起更深层次的攻击。本文将从实战角度出发，详细介绍如何挖掘和利用敏感信息泄露漏洞，并提供防御建议。

继续阅读

万能门店小程序管理系统 doPageGuiz SQL注入漏洞

发布于 作者:

万能门店小程序管理系统 doPageGuiz SQL注入漏洞 Superhero Nday Poc 2025-03-20 20:37 内容仅用于学习交流自查使用，由于传播、利用本公众号所提供的 POC 信息及 POC对应脚本 而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号Nday Poc及作者不为此承担任何责任，一旦造成后果请自行承担！ 00**** 产品简介 万能门店小程序管理

继续阅读

XSS漏洞利用工具之BeEF

发布于 作者:

XSS漏洞利用工具之BeEF 原创 OneDay一卒的老付 老付话安全 2025-03-20 20:26 点击蓝字 关注我们 始于理论，源于实践，终于实战 老付话安全，每天一点点 激情永无限，进步看得见 严正声明 本号所写文章方法和工具只用于学习和交流，严禁使用文章所述内容中的方法未经许可的情况下对生产系统进行方法验证实施，发生一切问题由相关个人承担法律责任，其与本号无关。 特此声明！！！ BeE

继续阅读

春季特惠 | 实用办公软件 6 折起！Downie、WinRAR、PDF Expert 好价来袭

发布于 作者:

春季特惠 | 实用办公软件 6 折起！Downie、WinRAR、PDF Expert 好价来袭 浮梦 网络空间信息安全学习 2025-03-20 19:46 春日好时光，数码荔枝「春季特惠」活动已开启！ 会场精选了一批实用 办公 软件和系统 优化 工具，与你一同开启 2025 的高效之门。 会场商品低至  6 折 ，春日暖心好价等你来选购： Parallels Desktop 20 ： 虚拟机

继续阅读

Android 版 Telegram（10.14.4 及更早版本）中 CVE-2024-7014（EvilVideo）漏洞验证

发布于 作者:

Android 版 Telegram（10.14.4 及更早版本）中 CVE-2024-7014（EvilVideo）漏洞验证 Ots安全 2025-03-20 19:45 Android 版 Telegram（10.14.4 及更早版本）中 CVE-2024-7014（EvilVideo）漏洞的概念验证。该程序将伪装成视频的恶意文件上传到 Telegram 频道，利用安全漏洞安装恶意软件或重定向

继续阅读

专题·漏洞人才培养 | 网络安全白帽人才运营及创新实践

发布于 作者:

专题·漏洞人才培养 | 网络安全白帽人才运营及创新实践 原创 曾裕智 中国信息安全 2025-03-20 18:13 扫码订阅《中国信息安全》 邮发代号 2-786 征订热线：010-82341063 文 | 上海斗象信息科技有限公司 曾裕智 在当今数字化时代，网络安全已成为关乎国家安全、企业发展和个人隐私的关键领域。白帽人才作为专业的网络安全人员，通过对评测目标的网络和系统进行授权渗透测试，发现

继续阅读

更新2节（附课后作业）| 系统0day安全-IOT设备漏洞挖掘（第6期）

发布于 作者:

更新2节（附课后作业）| 系统0day安全-IOT设备漏洞挖掘（第6期） 看雪课程 看雪学苑 2025-03-20 17:59 更新： 第三章 课时8：自动化仿真工具-FAT的介绍与使用 https://www.kanxue.com/book-7-5300.htm 课时9：自动化仿真工具-FirmAE的介绍与使用 https://www.kanxue.com/book-7-5301.htm 自动化

继续阅读

mySCADA myPRO中存在多个严重漏洞，可导致攻击者接管工控系统

发布于 作者:

mySCADA myPRO中存在多个严重漏洞，可导致攻击者接管工控系统 Ravie Lakshmanan 代码卫士 2025-03-20 17:42 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 瑞士安全公司 PRODAFT的网络安全研究员详述了影响 mySCADA myPRO 的两个严重漏洞，它们可导致恶意人员控制可疑系统。MySCADA myPRO是用于运行技术 (OT) 环境中的数据

继续阅读

Chrome 修复 Lens 特性中的严重 UAF 漏洞

发布于 作者:

Chrome 修复 Lens 特性中的严重 UAF 漏洞 do son 代码卫士 2025-03-20 17:42 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 谷歌推出重大安全更新，修复了位于 Chrome 的 Lens 特性中的释放后使用 (UAF) 漏洞 CVE-2025-2476。该漏洞已在 Windows、Mac 和 Linux 的最新稳定版本中修复。 该漏洞如遭成功利用，可导致

继续阅读

百度对“开盒”事件发布声明，已报案；美国西部联盟银行遭遇第三方供应商零日漏洞攻击，2.2万客户数据遭泄露 | 牛览

发布于 作者:

百度对“开盒”事件发布声明，已报案；美国西部联盟银行遭遇第三方供应商零日漏洞攻击，2.2万客户数据遭泄露 | 牛览 安全牛 2025-03-20 16:59 新闻速览 •目录 百度对“开盒”事件发布声明，已报案 •通过电子商务骗局获利1400万美元，Click Profit 被封禁 •WhatsApp修复被Paragon间谍软件攻击利用的零点击零日漏洞 •Infosys因第三方数据泄露事件达成17

继续阅读

面向漏洞编程：如何让AI编程助手生成带后门的代码

发布于 作者:

面向漏洞编程：如何让AI编程助手生成带后门的代码 安全内参编译 安全内参 2025-03-20 14:44 关注我们 带你读懂网络安全 研究人员发现，通过在AI编程助手的规则文件中植入不良内容，来诱导Cursor或GitHub Copilot生成不安全的代码，攻击者可以通过在论坛或GitHub分享包含规则文件的代码库来实施软件供应链攻击。 前情回顾·大模型安全动态 – 破解DeepSe

继续阅读

用友crm客户关系管理ajax/getufvouchdata.php接口存在SQL注入漏洞 漏洞预警

发布于 作者:

用友crm客户关系管理ajax/getufvouchdata.php接口存在SQL注入漏洞 漏洞预警 2025-3-19更新 南风漏洞复现文库 2025-03-19 23:15 免责声明：请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果与文章作者无关。该文章仅供学习用途使用。 1. 用友crm

继续阅读

poc难找？无问AI来帮你

发布于 作者:

poc难找？无问AI来帮你 原创 爱坤 爱坤sec 2025-03-19 22:23 在日常渗透过程中，遇到一个cms的时候，寻找poc就是一个费时费力的事情，使用ai大模型对我们的日常帮助就会很方便，但是通常的ai大模型是拒绝提供给我们poc的，或者不能提供详细的poc脚本，所以在工作中这一方面需要我们自己去寻找，但是无问AI解决了这一痛点，他可以直接给出详细的利用脚本，来方便我们进行日常的工作

继续阅读

【漏洞预警】FortiSOAR代码注入漏洞

发布于 作者:

【漏洞预警】FortiSOAR代码注入漏洞 cexlife 飓风网络安全 2025-03-19 21:46 漏洞描述： 在FоrtiSOAR Cоnnесtоr FоrtiSOAR中存在一个不当的代码生成控制（“代码注入”）漏洞[CWE-94],影响所有版本的7.4、7.3、7.2、7.0和6.4,可能允许经过身份验证的攻击者通过剧本代码片段在主机上执行任意代码。 攻击场景: 攻击者可能通过上传恶

继续阅读

SRC漏洞挖掘之并发漏洞挖掘实战指南

发布于 作者:

SRC漏洞挖掘之并发漏洞挖掘实战指南 原创 炽汐安全屋 炽汐安全屋 2025-03-19 21:28 一、并发漏洞简介1.1 什么是并发漏洞？并发漏洞（Race Condition Vulnerability）是指在多用户或高并发环境下，由于系统处理请求的时序性问题，导致逻辑流程出现异常，从而产生安全隐患。这种漏洞通常发生在系统对共享资源的访问没有正确同步或加锁的情况下。1.2 并发漏洞的危害数据

继续阅读

【安全圈】ChatGPT 漏洞遭超一万个 IP 地址主动利用，美国政府机构惨遭攻击

发布于 作者:

【安全圈】ChatGPT 漏洞遭超一万个 IP 地址主动利用，美国政府机构惨遭攻击 安全圈 2025-03-19 19:01 关键词 攻击者正在积极利用 OpenAI 的 ChatGPT 基础设施中的一个服务器端请求伪造（SSRF）漏洞。该漏洞被标识为 CVE-2024-27564，尽管其被归类为中等严重程度，但已成为一个重大威胁。 根据网络安全公司 Veriti 的研究，这个漏洞已在众多实际攻击

继续阅读

ChatGPT 漏洞被用于攻击美国政府组织机构

发布于 作者:

ChatGPT 漏洞被用于攻击美国政府组织机构 Ionut Arghire 代码卫士 2025-03-19 18:15 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 网络安全公司 Veriti 报道称，威胁行动者们正在利用ChatGPT去年的服务器端请求伪造 (SSRF) 漏洞，攻击金融实体和美国政府组织机构。 该漏洞CVE-2024-27564是一个影响 pictureproxy.php

继续阅读

专题·漏洞人才培养 | 聚焦漏洞技术研究 探索实战型网安人才培养的实践路径

发布于 作者:

专题·漏洞人才培养 | 聚焦漏洞技术研究 探索实战型网安人才培养的实践路径 原创 毛丽艳 李跃忠 中国信息安全 2025-03-19 18:06 扫码订阅《中国信息安全》 邮发代号 2-786 征订热线：010-82341063 文 | 北京天融信教育科技有限公司 毛丽艳 李跃忠 随着信息技术的飞速发展，各行各业都在享受着数字化带来的便捷与高效。然而，网络安全问题日益凸显，成为制约数字化进程的一大

继续阅读

ChatGPT漏洞被超过10000个IP积极利用，攻击美国政府组织

发布于 作者:

ChatGPT漏洞被超过10000个IP积极利用，攻击美国政府组织 安全客 2025-03-19 16:24 近期，网络安全公司 Veriti 发布的研究报告揭示，黑客正在积极利用OpenAI ChatGPT基础设施中的服务器端请求伪造（SSRF）漏洞（CVE-2024-27564）。尽管该漏洞的严重性被归类为中等，但它已经被大规模武器化，成为全球网络攻击的一个新威胁。更值得注意的是，尽管攻击者正

继续阅读

警惕！Fortinet防火墙漏洞遭勒索软件利用，多家企业被黑

发布于 作者:

警惕！Fortinet防火墙漏洞遭勒索软件利用，多家企业被黑 安全内参编译 安全内参 2025-03-19 15:01 关注我们 带你读懂网络安全 网络安全产品屡屡成为企业被黑入口。 前情回顾·安全产品漏洞利用态势 – Palo Alto防火墙又被黑：最新漏洞披露后第二天就遭利用 警惕！近期Fortinet防火墙频遭攻击，疑似零日漏洞被利用 网安巨头Palo Alto全球数千防火墙被攻

继续阅读

【已复现】Windows 文件资源管理器欺骗漏洞(CVE-2025-24071)安全风险通告

发布于 作者:

【已复现】Windows 文件资源管理器欺骗漏洞(CVE-2025-24071)安全风险通告 奇安信 CERT 2025-03-19 11:50 ●  点击↑蓝字关注我们，获取更多安全风险通告 漏洞概述 漏洞名称 Windows 文件资源管理器欺骗漏洞 漏洞编号 QVD-2025-10439,CVE-2025-24071 公开时间 2025-03-11 影响量级 千万级 奇安信评级 高危 CVSS

继续阅读