2024年微软漏洞数量创新高，超1,300个
2024年微软漏洞数量创新高，超1,300个 祺印说信安 2025-04-18 16:01 2024 年，微软的安全形势面临前所未有的挑战，漏洞报告数量飙升至历史最高水平，整个公司产品生态系统中已发现 1,360 个安全漏洞。这个令人震惊的数字是自系统跟踪开始以来记录的最高数字，突显出攻击面不断扩大，即使是资源最丰富的技术提供商也面临挑战。这一急剧增长既反映了微软产品日益复杂的特点，也反映了威胁行
继续阅读月度归档： 2025 年 4 月
WordPress SureTriggers插件漏洞（CVE-2025-3102）创建未经身份验证的管理用户
WordPress SureTriggers插件漏洞（CVE-2025-3102）创建未经身份验证的管理用户 原创 爱坤 爱坤sec 2025-04-18 15:24 漏洞获取地址在文章末尾 描述： CVE-2025-3102是一个严重的身份验证绕过漏洞，影响SureTriggers：All-in-One Automation PlatformWordPress 插件，该插件已主动安装在超过100
继续阅读一文掌握 Java XXE 漏洞原理、利用与防御姿势
一文掌握 Java XXE 漏洞原理、利用与防御姿势 原创 火力猫 季升安全 2025-04-18 14:13 🧨 Java XXE 漏洞审计大全 一看就懂、二看就能用、三看就能把审计搞定！ 🧠 一、什么是 XXE？ XXE（XML External Entity）漏洞 是利用 XML 的“外部实体”功能，让服务器读取本地文件或访问远程地址（如 SSRF）。常见后果： – 读取文件（/
继续阅读Java XXE 防护实战：常见漏洞场景与防御代码全收录
Java XXE 防护实战：常见漏洞场景与防御代码全收录 原创 火力猫 季升安全 2025-04-18 13:50 🛡️ Java XXE 防护示例与详解 本文件涵盖常见 Java XML 解析器的 XXE 安全配置方法，适用学习和辅助判断审计目标是否存在XXE问题： – 💥 默认行为 ⚠️ 潜在风险 ✅ 防护方式 👨💻 防护代码 📘 1. DocumentBuilderFactor
继续阅读iOS 设备遭定向攻击，苹果紧急修复两枚零日漏洞
iOS 设备遭定向攻击，苹果紧急修复两枚零日漏洞 FreeBuf 2025-04-18 12:34 苹果公司已发布iOS 18.4.1和iPadOS 18.4.1更新，修复两个被用于针对特定iPhone用户实施高度定向、复杂攻击的关键零日漏洞。 这两个漏洞存在于CoreAudio和RPAC组件中，攻击者可利用它们在受影响设备上执行任意代码或绕过安全保护机制。 01 两个正被活跃利用的零日漏洞 1.
继续阅读Windows漏洞CVE-2025-24054被利用，文件下载可致NTLM凭据被盗
Windows漏洞CVE-2025-24054被利用，文件下载可致NTLM凭据被盗 FreeBuf 2025-04-18 12:34 微软上月已发布补丁的 Windows NTLM 哈希泄露漏洞 CVE-2025-24054，近期被威胁分子用于针对波兰和罗马尼亚政府及私营机构的攻击活动。 Check Point 研究人员表示：”自 2025 年 3 月 19 日起已观测到该漏洞的野外活
继续阅读【漏洞预警】Jupyter Remote Desktop未授权访问漏洞CVE-2025-32428
【漏洞预警】Jupyter Remote Desktop未授权访问漏洞CVE-2025-32428 cexlife 飓风网络安全 2025-04-18 12:22 漏洞描述: Jupyter远程桌面代理使得TigerVNC能够通过网络访问,而非仅通过UNIX套接字进行访问（这是其预期功能）,Jupyter远程桌面代理允许您在JupyterHub上运行Linux桌面,jupyter-remote-d
继续阅读【漏洞预警】F5 BIG-IP命令注入漏洞CVE-2025-23239
【漏洞预警】F5 BIG-IP命令注入漏洞CVE-2025-23239 cexlife 飓风网络安全 2025-04-18 12:22 漏洞描述: 在Aррliаnсе模式下运行时,未公开的iCоntrоl REST端点中存在经过身份验证的远程命令注入漏洞成功利用,该漏洞可让攻击者跨越安全边界。 攻击场景: 攻击者可能通过未公开的iControl REST端点上传恶意文件,实现远程命令注入 影响产
继续阅读全球首款「原生AI」漏洞挖掘应用——蛙池AI即将上线！
全球首款「原生AI」漏洞挖掘应用——蛙池AI即将上线！ 漏洞盒子 2025-04-18 11:29 （雪花屏滋啦作响）咦？ 一觉醒来， 本蛙居然穿越到了1988 还绑定了蛙池AI系统？ 这一次，我将夺回属于我的一切！ 点击下方视频 助力本蛙开启新世代高效自动化挖洞掘金之路 走向人生巅峰！
继续阅读【安全圈】Erlang/OTP SSH 远程代码执行漏洞 PoC 漏洞利用发布
【安全圈】Erlang/OTP SSH 远程代码执行漏洞 PoC 漏洞利用发布 安全圈 2025-04-18 11:01 关键词 安全漏洞 安全业界正面临一场前所未有的挑战——研究人员日前确认Erlang/OTP的SSH实现存在一个可导致远程代码执行的严重漏洞（CVE-2025-32433），该漏洞已被评定为CVSS最高分10.0的危险等级。攻击者无需任何认证即可执行任意代码，完全控制系统。 这一
继续阅读漏洞复现 || Langflow 远程命令执行
漏洞复现 || Langflow 远程命令执行 韩文庚 我爱林 2025-04-18 10:18 免责声明 我爱林攻防研究院的技术文章仅供参考，任何个人和组织使用网络应当遵守宪法法律，遵守公共秩序，尊重社会公德，不得利用网络从事危害国家安全、荣誉和利益，未经授权请勿利用文章中的技术资料对任何计算机系统进行入侵操作。利用此文所提供的信息而造成的直接或间接后果和损失，均由使用者本人负责。本文所提供的工
继续阅读Erlang/OTP SSH 高危漏洞 CVE-2025-32433：无需认证即可远程执行代码
Erlang/OTP SSH 高危漏洞 CVE-2025-32433：无需认证即可远程执行代码 信息安全大事件 2025-04-18 10:02 在 Erlang/Open Telecom Platform（OTP）的 SSH 实现中存在一个严重漏洞，该漏洞允许攻击者在无需进行身份验证的情况下执行任意代码。 这个被追踪编号为 CVE-2025-32433 的漏洞，已被赋予通用漏洞评分系统（CVS
继续阅读速修复！Erlang/OTP SSH 中存在严重的预认证 RCE
速修复！Erlang/OTP SSH 中存在严重的预认证 RCE Lawrence Abrams 代码卫士 2025-04-18 09:49 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 Erlang/OTP SSH 中存在一个严重漏洞CVE-2025-32433，可导致在未认证的远程代码执行 (RCE) 后果。 该漏洞由德国波鸿鲁尔大学的研究人员发现，CVSS评分为满分10分。所有运行
继续阅读Atlassian 和思科修复多个高危漏洞
Atlassian 和思科修复多个高危漏洞 Ionut Arghire 代码卫士 2025-04-18 09:49 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 本周，Atlassian 和思科宣布修复多个高危漏洞，其中一些可导致远程代码执行后果。 Atlassian 发布了7份更新，修复了影响 Bamboo、Confluence和 Jira 中第三方依赖的四个高危漏洞，其中一些漏洞早在近
继续阅读CVE-2025-21204：通过 Windows 更新堆栈中的不当链接跟踪进行权限提升
CVE-2025-21204：通过 Windows 更新堆栈中的不当链接跟踪进行权限提升 Ots安全 2025-04-18 09:32 网址 – https://cyberdom.blog/abusing-the-windows-update-stack-to-gain-system-access-cve-2025-21204/ 目标 使用 2025 年 4 月更新之前的更新堆栈的 W
继续阅读CVE计划停摆：全球漏洞治理体系面临协同危机
CVE计划停摆：全球漏洞治理体系面临协同危机 奇安信 CERT 2025-04-18 08:20 当美国网络安全和基础设施安全局 (CISA) 批准 MITRE 延长其 CVE 和 CWE 项目监管合同 11 个月的消息传出后，一些业内人士松了一口气。但经验丰富的网络安全专业人士却并非如释重负，而是担忧。因为虽然这次情况还算稳定，但距离系统崩溃仅一步之遥。 奇安信CERT梳理当前安全态势，以帮助提
继续阅读微软产品的漏洞：哪些已得到改进，哪些仍面临风险
微软产品的漏洞：哪些已得到改进，哪些仍面临风险 原创 D1net编译 信息安全D1net 2025-04-18 08:03 点击上方“蓝色字体 ”，选择 “设为星标 ” 关键讯息，D1时间送达！ 微软2024年漏洞总数突破历史峰值达1360个，但严重高危漏洞锐减至78个创十年最低。权限提升漏洞以40%占比成攻击者”黄金钥匙”，Edge浏览器漏洞暴增292%、Office套件
继续阅读Windows 提权漏洞速报：CVE-2025-21204
Windows 提权漏洞速报：CVE-2025-21204 红队安全圈 红队安全圈 2025-04-18 07:39 漏洞概述 CVE-2025-21204 是Windows更新栈中的高危本地提权漏洞，攻击者通过符号链接劫持可获取SYSTEM权限 – • CVSS评分 ：8.8（高危） • 攻击复杂度 ：低 漏洞原理与攻击方式 🚨 1. 漏洞核心 • 存在于 MoUsoCoreWor
继续阅读信息安全漏洞周报【第018期】
信息安全漏洞周报【第018期】 零零捌信安观察 银天信息 2025-04-18 07:31 点击蓝字 关注我们 零零捌信安观察近期注意到，国家信息安全漏洞共享平台（CNVD）及国家信息安全漏洞库（CNNVD）等权威机构发布了最新的安全公告。经过我们团队的分析和筛查，我们收录了以下被认定为风险的安全漏洞信息。 目前，相关官方机构已经发布了针对这些安全漏洞的补丁和修复方案。我们建议相关用户和组织及时关
继续阅读【已复现】CrushFTP SSRF和目录遍历漏洞（CVE-2025-32102，CVE-2025-32103 ）
【已复现】CrushFTP SSRF和目录遍历漏洞（CVE-2025-32102，CVE-2025-32103 ） 原创 安全探索者 安全探索者 2025-04-18 06:38 ↑点击关注，获取更多漏洞预警，技术分享 0x01 组件介绍 CrushFTP是一款支持FTP, FTPS, SFTP, HTTP, HTTPS, WebDAV and WebDAV SSL等协议的跨平台FTP服务器软件。
继续阅读CVE-2025-21204: Windows Update Stack 中的不当链接跟随导致的权限提升
CVE-2025-21204: Windows Update Stack 中的不当链接跟随导致的权限提升 pwndorei securitainment 2025-04-18 06:37 【翻译】CVE-2025-21204 Windows Update Stack의 Improper Link Following Privilege Escalation URL https://cyberdom
继续阅读OneBlog最新模板注入漏洞（CNVD-2025-06047、CVE-2024-54954）
OneBlog最新模板注入漏洞（CNVD-2025-06047、CVE-2024-54954） 原创 护卫神 护卫神说安全 2025-04-18 06:24 OneBlog是一款基于Java的开源博客系统，采用Spring Boot和Bootstrap开发，支持移动端自适应。它提供多种编辑器、广告管理、自动友链申请、SEO优化等丰富功能，配备完善的后台管理系统。系统支持Docker一键部署，集成七
继续阅读【代码审计】记某次项目前台反序列化RCE漏洞研究
【代码审计】记某次项目前台反序列化RCE漏洞研究 原创 Mstir 星悦安全 2025-04-18 06:08 点击上方 蓝字 关注我们 并设为 星标 0x01 过程 一套涉Zha的系统，名字就不给出了，貌似用的人还挺多. 该项目框架:ThinkPHP 5.0.24 Debug:True 翻遍了所有代码，上传点都限制的比较死，只能传白名单里的后缀，SQL注入也基本没有，只能去找找别的地方. 这时候
继续阅读【真0day未修复】Bubble.io平台 0day安全分析：揭露Elasticsearch漏洞
【真0day未修复】Bubble.io平台 0day安全分析：揭露Elasticsearch漏洞 独眼情报 2025-04-18 06:01 介绍 Bubble.io是一个流行的无代码平台，使用户能够在不需要编写代码的情况下构建功能完整的应用程序。虽然它承诺提供用户友好的环境，但本文深入分析了其底层安全机制。我们应用进攻性安全技术来识别平台中的漏洞，特别是在它与Elasticsearch交互和处理
继续阅读Sapido RB- 1732 路由器命令执行漏洞
Sapido RB- 1732 路由器命令执行漏洞 有限的思考 2025-04-18 05:23 漏洞介绍： Sapido是一款家用路由器，其RB-1732系列v2.0.43之前的固件版本存在一处命令执行漏洞。该漏洞产生的原因是，服务器的syscmd.asp页面没有对传递过来的参数进行过滤，这使得用户的输入没有任何过滤，可以直接将系统命令发送给服务器并在服务器上执行。 Fofa特征 app=
继续阅读如果没了CVE，我们还有哪些漏洞库可以选择
如果没了CVE，我们还有哪些漏洞库可以选择 sec0nd安全 2025-04-18 04:27 点击上方 蓝字 关注我们 美国非营利研发组织 MITRE 在 2025 年 4 月宣布，其与美国国土安全部（DHS）签订的 CVE 数据库维护合同于 4 月 16 日午夜到期，DHS 拒绝续约。运行长达 25 年的 CVE 项目，面临着随时可能终止的危机。虽然美国网络安全与基础设施安全局（CISA）表示
继续阅读网安人的咯噔文学|CVE-2025-404NotFound？
网安人的咯噔文学|CVE-2025-404NotFound？ 原创 冰片Ice 安全女王 2025-04-18 04:12 “咯噔”文学是一种让人看了产生 心理不适 的文字，也可以看作是一种 夸张 的表达方式。 网安人的咯噔文学 ▼ 1、安全运营 刚打完一场酣畅淋漓的球赛，你到场边喝水休息，抓起矿泉水猛灌。一边解锁手机瞬间看到20个未接来电全来自领导。你马上打开随身携带的笔记本电脑，手忙脚乱开热
继续阅读【全网最全】Struts2终极漏洞合集靶机发布！一次通关，掌握所有高危漏洞利用！
【全网最全】Struts2终极漏洞合集靶机发布！一次通关，掌握所有高危漏洞利用！ cslab 红队蓝军 2025-04-18 03:40 从S2-001到S2-061，全网最全Struts2漏洞实战沙盘！ 🚨 为什么Struts2漏洞必须死磕？ 企业Web渗透的“万用钥匙”！ ✅ 全版本覆盖：15年漏洞史，20+经典CVE复现（含已修复/未公开漏洞） ✅ 真实场景还原：Ognl注入、RCE、文件上
继续阅读PHP的extract()函数存在严重漏洞，可导致任意代码执行
PHP的extract()函数存在严重漏洞，可导致任意代码执行 邑安科技 邑安全 2025-04-18 03:24 更多全球网络安全资讯尽在邑安全 PHP 的 extract（） 函数中存在一个严重漏洞，攻击者可以触发内存损坏，从而导致跨多个 PHP 版本执行任意本机代码。 该漏洞源于内存管理问题，该问题可能由涉及引用和对象析构函数的特定使用模式触发，该模式会影响所有主要 PHP 版本，包括 5.
继续阅读