Deep Java Library (DJL) CVE-2025-0851 漏洞复现与深度剖析 原创 HSCERT 山石网科安全技术研究院 2025-03-16 09:03 Java开发者注意！DJL框架中的一个漏洞可能让你的服务器面临被攻击的风险！ 在当今数字化时代，深度学习框架的安全性至关重要。然而，即使是备受开发者青睐的开源框架也可能隐藏着潜在的安全漏洞。最近，Deep Java Libra
继续阅读SRC漏洞挖掘之逻辑漏洞挖掘实战指南 原创 炽汐安全屋 炽汐安全屋 2025-03-15 21:29 在SRC（安全漏洞挖掘与利用）领域，逻辑漏洞是一类特殊且高价值的漏洞类型。不同于常见的代码执行、SQL注入等技术性漏洞，逻辑漏洞更多依赖于对系统业务流程的深刻理解和分析。这类漏洞往往隐藏在应用程序的业务逻辑中，不容易被自动化工具检测出来，因此成为许多SRC玩家的追求。 本文将以教学为主，以SRC漏
继续阅读记一次某大厂csrf漏洞通过蠕虫从低危到高危 黑白之道 2025-03-15 21:22 文章首发在：奇安信攻防社区 https://forum.butian.net/share/4190 本文记载了笔者src漏洞挖掘的经历，如何将一个简单的csrf提高至高危的程度 初见端倪 在上传的头像的点位: 当时抓了一个包，发现这个地方更换头像分为三部走: – 一，把头像图片上传到云返回云上的地
继续阅读【安全圈】开源字体渲染库 FreeType 出现高危漏洞，可被黑客利用发起攻击 安全圈 2025-03-15 19:00 关键词 安全漏洞 3 月 14 日消息，Facebook 旗下的安全研究实验室日前透露， FreeType 在 2.13.0 以前的版本中存在安全漏洞 ，该漏洞代号为 CVE-2025-27363，漏洞评分为 8.1/10 分，评级为高风险。 注：FreeType 是一款开源的
继续阅读微软与VMware零日漏洞紧急修复指南 FreeBuf 2025-03-15 18:04 首席信息安全官（CISO）需督促管理员尽快修复Windows和VMware产品中的零日漏洞 ，避免其被广泛利用。 此外，Windows管理员还需留意一个已有公开利用证明的漏洞，威胁者很可能会对此发起攻击。 同时，使用OpenSSH进行安全远程登录的应用程序在发现两处中间人（MiTM）攻击和服务拒绝漏洞后，也需
继续阅读【高危漏洞】【POC公开】Apache Camel 任意命令执行漏洞 原创 moon 皓月当空w 2025-03-15 17:12 皓月当空，明镜高悬 文末可体验bugSearch系统哦~ 漏洞名称 ： Apache Camel 任意命令执行漏洞 漏洞出现时间 ：2025年3月13日 影响等级 ：高危 漏洞说明： Apache Camel 中近期披露的一个安全漏洞（编号为 CVE –
继续阅读H3C多系列路由器存在前台远程命令执行漏洞 原创 骇客安全 骇客安全 2025-03-15 17:11 一、漏洞简介 H3C多系列路由器存在前台远程命令执行漏洞。 二、影响版本 H3C多系列路由器 三、资产测绘 hunterapp.name=”H3C Router Management” 登录页面 四、漏洞复现 POST /goform/aspForm HTTP/1.1 A
继续阅读H3C多系列路由器存在任意用户登录漏洞 原创 骇客安全 骇客安全 2025-03-15 17:11 一、漏洞简介 H3C 企业路由器(ERN ERG2N GR 系列》存在任意用户登录和命令 执行漏洞，攻击者可通过访问nserLog in.asp/actionpalicy_status1./xxxx.cfg 接口，xxxx为设备型号（比如设备型号为 ER5200G2 ，即访问userLog in.a
继续阅读不赶趟的 tomcat:CVE-2025-24813漏洞验证 独眼情报 2025-03-15 15:55 不赶趟的CVE-2025-24813漏洞验证 作者 Yiheng An, Jun Li, Qiang Liu, Haozhe Zhang, Qi Deng 参考资料 https://www.linkedin.com/posts/unit42_we-have-tested-cve-2025-24
继续阅读深科特LEAN MES系统SMTLoadingMaterial SQL注入漏洞 Superhero Nday Poc 2025-03-15 15:06 内容仅用于学习交流自查使用，由于传播、利用本公众号所提供的 POC 信息及 POC对应脚本 而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号nday poc及作者不为此承担任何责任，一旦造成后果请自行承担！如文章有侵权烦请及时告知，
继续阅读思科警告公开披露cve -2025- 2015 – BGP漏洞使网络处于危险之中 HackSee 2025-03-15 14:31 思科发布了一份安全公告，解决其IOS XR软件中的拒绝服务（DoS）漏洞。该漏洞被识别为cve -2025- 2015，影响边界网关协议（BGP）联盟的实现。 该公告警告称，该漏洞可能允许“未经身份验证的远程攻击者造成拒绝服务（DoS）状况”。此漏洞源于“
继续阅读.NET v2.0 框架不用愁，通过 ysoserial_frmv2 触发反序列化漏洞 原创 专攻.NET安全的 dotNet安全矩阵 2025-03-15 13:02 ViewStateDecoder2 是一个专门用于解析和分析 .NET ViewState 数据的工具，安全研究人员可以利用来查看其中存储的数据结构，检查是否存在用户数据泄露等，本篇文章将深入剖析 ViewStateDecod
继续阅读Apache ERP开源框架OFBiz高危RCE 漏洞复现分析 原创 HSCERT 山石网科安全技术研究院 2025-03-15 09:01 无需身份验证，攻击者就能轻松拿下你的服务器，你必须立刻知道！ 在数字化时代，企业的核心业务系统如同一座座数字化城堡，而开源软件则是这些城堡的基石。然而，当基石出现裂缝时，整个城堡的安全都将受到严重威胁。近期，Apache OFBiz——一款广泛应用于企业资源
继续阅读SRC漏洞挖掘之SQL注入漏洞挖掘 原创 炽汐安全屋 炽汐安全屋 2025-03-14 23:43 一、SQL注入漏洞简介 1.1 什么是SQL注入？ SQL注入（SQL Injection）是一种常见的Web应用安全漏洞。攻击者通过构造特殊的输入，注入到Web应用程序的数据库SQL语句中，从而操纵数据库执行恶意操作。 1.2 SQL注入的危害 数据泄露 ：攻击者可以窃取敏感数据，如用户密码、信用
继续阅读Ollama被爆DDOS攻击漏洞 原创 安全闲谈 柯基的安全笔记 2025-03-14 23:34 前言 我们在Ollama客户端发现了一个漏洞，当恶意API服务器对GZIP BOMB HTTP响应响应请求时，可以触发。此漏洞可能会导致内存（OOM）攻击，从而导致Ollama服务器崩溃。 复现步骤 获取最新的ollama git clone https://github.com/ollama/ol
继续阅读【漏洞预警】Kubernetes Windows命令注入漏洞 cexlife 飓风网络安全 2025-03-14 22:55 漏洞描述: Kubеrnеtеѕ Windоԝѕ节点中存在个安全漏洞,该漏洞可能允许具有高权限用户查询节点的/lоɡѕ端点以在主机上执行任意命令。 影响产品: 1、 Kubernetes v1.32.0 2、 v1.31.0 <=Kubernetes <= v
继续阅读卷不动Web渗透？世界500强导师带你用逻辑分析仪挖电网0day，薪资翻倍打卫星！ 泷羽Sec-静安 泷羽Sec-静安 2025-03-14 22:18 听说00后用STM32黑进卫星 “只会软件攻防，薪资卡在20k？” 传统网络安全行业内卷加剧，软件渗透测试、Web漏洞挖掘岗位竞争白热化，而硬件攻防 却是一片蓝海—— – 某智能门锁被曝通过UART接口提取固件，破解家庭Wi-Fi密码
继续阅读GitLab 紧急修补关键身份验证绕过漏洞 – CVE-2025-25291 和 CVE-2025-25292 TtTeam 2025-03-14 20:35 在 GitLab 用于 SAML 单点登录（SSO）身份验证的 ruby-saml 库中，存在两个极为严重的问题，编号分别为 CVE – 2025 – 25291 和 CVE – 2025 –
继续阅读【安全圈】Tenda AC7 路由器漏洞使攻击者能够通过恶意负载获取 Root Shell 安全圈 2025-03-14 19:03 关键词 安全漏洞 运行固件版本 V15.03.06.44 的 Tenda AC7 路由器中存在一个严重漏洞，允许恶意行为者执行任意代码并获得 root shell 访问权限。 该漏洞源自路由器 formSetFirewallCfg 函数中的堆栈溢出漏洞。攻击者可以
继续阅读【安全圈】SuperBlack 攻击者利用两个 Fortinet 漏洞部署勒索软件 安全圈 2025-03-14 19:03 关键词 勒索软件 2025 年 1 月底至 3 月初，Forescout 旗下 Vedere 实验室的网络安全研究人员发现了一系列利用关键Fortinet 漏洞的复杂入侵行为。 此次攻击被归咎于一个新发现的威胁行为者“Mora_001”，最终导致部署了一种名为“SuperB
继续阅读【安全圈】GitLab 警告多个漏洞可让攻击者以有效用户身份登录 安全圈 2025-03-14 19:03 关键词 安全漏洞 GitLab 发布了针对多个漏洞的关键安全补丁，这些漏洞可能允许攻击者以合法用户身份进行身份验证，甚至在特定情况下执行远程代码。 该公司已敦促所有自行管理的 GitLab 安装立即升级到社区版 (CE) 和企业版 (EE) 17.9.2、17.8.5 或 17.7.7 版
继续阅读Meta：FreeType 0day漏洞已遭活跃利用 Ravie Lakshmanan 代码卫士 2025-03-14 18:39 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 Meta 提醒称，开源字体渲染库 FreeType 中的一个 0day漏洞 (CVE-2025-27363) 可能已遭在野利用。 该漏洞的CVSS评分为8.1，是一个高危级别的界外写漏洞。当解析某些字体文件时，可被
继续阅读GitHub 发现ruby-saml中的新漏洞，可用于接管账户 Ravie Lakshmanan 代码卫士 2025-03-14 18:39 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 开源库 ruby-saml 中存在两个高危漏洞，可导致恶意人员绕过SAML认证防护机制。 SAML 是基于XML的标记语言和开放标准，可用于在相关方之间交换认证和授权数据，启用单点登录 (SSO) 等特性
继续阅读Tomcat CVE-2025-24813 从计算器到GetShell 原创 骨哥说事 骨哥说事 2025-03-14 18:22 声明：文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由用户承担全部法律及连带责任，文章作者不承担任何法律及连带责任。 ****# 防走失：https://gugesay.com/archives/4094 **不想错过任何消息
继续阅读XXE漏洞各种骚姿势 迪哥讲事 2025-03-14 17:33 声明：文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由用户承担全部法律及连带责任，文章作者不承担任何法律及连带责任。 ****# 防走失：https://gugesay.com/archives/4086 **不想错过任何消息？设置星标↓ ↓ ↓ 前言 XML 外部实体（XXE）漏洞是现代网
继续阅读漏洞预警 | Ruby-Saml/GitLab存在身份认证绕过漏洞（CVE-2025-25291、CVE-2025-25292） 原创 烽火台实验室 Beacon Tower Lab 2025-03-14 17:20 1 漏洞概述 漏洞类型 身份认证绕过 漏洞等级 高危 漏洞编号 CVE-2025-25291、CVE-2025-25292 漏洞评分 8.8 利用复杂度 低 影响版本 < 1.
继续阅读微软2025年3月补丁日重点漏洞安全预警 原创 山石漏洞管理中心 山石网科安全技术研究院 2025-03-14 17:15 微软官方发布3月安全更新 请及时安装补丁修复 补丁概述 2025年3月11日，微软官方发布了3月安全更新，针对57个Microsoft CVE和10个non-Microsoft CVE进行修复。Microsoft CVE中，包含6个严重漏洞（Critical）、50个重要
继续阅读悬镜入选“移动互联网APP产品安全漏洞治理”十大优秀案例 原创 Xmirror 悬镜安全 2025-03-14 16:45 开源治理优秀案例颁奖现场 2025年3月13日，由中国软件评测中心、CAPPVD漏洞库联合主办的“第六期移动互联网APP产品安全漏洞技术沙龙”在海口成功召开。悬镜安全基于移动端数字供应链安全开源治理方案荣获中国软件评测中心“2024移动互联网APP产品安全漏洞治理”十大优秀案
继续阅读顶流明星在澳门输了10亿？一男子用AI造谣被行拘8天；多平台SSRF漏洞遭遇协同攻击，逾400个IP同时启动 | 牛览 安全牛 2025-03-14 16:32 新闻速览 •顶流明星在澳门输了10亿？一男子用AI造谣被行拘8天 •导致1.8万名客户数据泄露，澳大利亚FIIG因网络安全失误遭起诉 •因泄露用户信息被罚款67亿韩元，韩国法院驳回Meta上诉 •多平台SSRF漏洞遭遇协同攻击，逾400个
继续阅读Ballista僵尸网络利用TP-Link漏洞，6千台设备被攻击 数世咨询 2025-03-14 16:02 未打补丁的 TP-Link Archer 路由器正成为一种名为 Ballista 的新型僵尸网络攻击的目标，这是 Cato CTRL 团队最新发现的。 01 攻击原理与传播方式 安全研究人员 Ofek Vardi 和 Matan Mittelman 在一份技术报告中表示：“该僵尸网络利用
继续阅读