标签： 代码执行

无认证也能入侵？Commvault 现严重漏洞，黑客可借此远程 “掌控” 系统

发布于 作者:

无认证也能入侵？Commvault 现严重漏洞，黑客可借此远程 “掌控” 系统 看雪学苑 看雪学苑 2025-04-24 09:59 在当今数字化时代，数据已成为企业最为关键的资产之一，而数据保护平台的安全性直接关系到企业的核心利益与用户的隐私安全。然而，近期一则关于 Commvault Command Center Innovation Release 版本存在严重安全漏洞的消息，如同一颗突然投

继续阅读

创宇安全智脑 | 时空智友企业流程化管控系统 indexService.notice SQL注入等88个漏洞可检测

发布于 作者:

创宇安全智脑 | 时空智友企业流程化管控系统 indexService.notice SQL注入等88个漏洞可检测 原创 创宇安全智脑 创宇安全智脑 2025-04-24 09:22 创宇安全智脑 是基于知道创宇17年来AI+安全大数据在真实攻防场景中的经验积累构建的下一代全场景安全智能算力平台。平台拥有海量真实攻防数据和安全大数据持续生产能力；结合面向多个实战场景的AI智能模型，持续汇聚、萃取和

继续阅读

大模型10大网络安全威胁及防范策略 | ChatGPT在公开漏洞利用代码发布前成功生成CVE有效攻击程序

发布于 作者:

大模型10大网络安全威胁及防范策略 | ChatGPT在公开漏洞利用代码发布前成功生成CVE有效攻击程序 e安在线 e安在线 2025-04-24 05:05 大模型10大网络安全威胁及防范策略 OWASP发布的《大语言模型人工智能应用Top10安全威胁2025》，大语言模型人工智能应用中存在的十大安全风险，相比2023版有一些变化， 10大安全威胁如下： 1、提示词注入：用户通过特殊输入改变模型

继续阅读

SpEL 表达式注入漏洞

发布于 作者:

SpEL 表达式注入漏洞 原创 信安魔方 锐鉴安全 2025-04-24 04:45 声明：请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，作者不为此承担任何责任。 请大家关注公众号支持，不定期有宠粉福利 Part-01 基础 知识 Spring 表达式语言(Spring Expression Language,SpEL

继续阅读

攻击 FastCGI 库：CVE-2025-23016

发布于 作者:

攻击 FastCGI 库：CVE-2025-23016 独眼情报 2025-04-24 03:57 介绍 FastCGI 是一个用 C 语言编写的库，用于通过设计一种在 NGINX 等 Web 服务器和第三方软件之间进行通信的方式来开发编译的 Web 应用程序。 它是通用网关接口 (CGI) 的演进。 它的主要优势在于它能够集成轻量级 Web 应用程序。 此功能意味着该库主要用于计算能力较低的设备

继续阅读

渗透测试实战：FastJSON漏洞如何在黑盒场景中精准触发？

发布于 作者:

渗透测试实战：FastJSON漏洞如何在黑盒场景中精准触发？ 原创 火力猫 季升安全 2025-04-24 00:15 🧨 FastJSON 渗透实战指南 1️⃣ 什么是 FastJSON？ FastJSON 是阿里巴巴开源的一款高性能 Java JSON 解析库，用于将 JSON 字符串转换为 Java 对象，或将 Java 对象序列化为 JSON。 👉 开发者最常用的方法 ： Object o

继续阅读

HFS2.3远程代码执行(CVE-2024-23692 )漏洞

发布于 作者:

HFS2.3远程代码执行(CVE-2024-23692 )漏洞 渗透测试研究中心 2025-04-23 23:01 免则声明：本公众号大部分文章来自作者日常学习笔记，也有部分文章是经过作者授权转载和其他公众号白名单转载，如需转载，联系作者开白。 文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由用户承担全部法律及连带责任，文章作者不承担任何法律及连带责任。

继续阅读

Cleo Synchronization接口任意文件读取漏洞CVE-2024-50623 附POC

发布于 作者:

Cleo Synchronization接口任意文件读取漏洞CVE-2024-50623 附POC 2025-4-23更新 南风漏洞复现文库 2025-04-23 15:33 免责声明：请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果与文章作者无关。该文章仅供学习用途使用。 1. Cleo 简

继续阅读

【翻译】Greenshift WordPress 插件中的任意文件上传漏洞影响 5 万个 WordPress 网站

发布于 作者:

【翻译】Greenshift WordPress 插件中的任意文件上传漏洞影响 5 万个 WordPress 网站 wordfence 安全视安 2025-04-23 14:24 2025年4月14日，我们收到了Greenshift插件 中存在的任意文件上传漏洞的提交。Greenshift是一款WordPress插件，活跃安装量超过5万次。经过身份验证的攻击者（拥有订阅者及以上权限）可以利用此漏洞

继续阅读

Windows 更新堆栈中存在允许代码执行和权限提升漏洞

发布于 作者:

Windows 更新堆栈中存在允许代码执行和权限提升漏洞 网安百色 2025-04-23 11:38 在研究人员透露，Windows 更新堆栈中新发现的一个漏洞被跟踪为 CVE-2025-21204，该漏洞可能使攻击者能够在目标计算机上执行任意代码并将权限升级到 SYSTEM 级别，这在网络安全社区引起了震动。 Cyberdom 博客的研究人员披露了该漏洞，对数百万依赖 Windows 更新机制进

继续阅读

通过代理实现代码执行——DLL劫持的另一种方式

发布于 作者:

通过代理实现代码执行——DLL劫持的另一种方式 Ots安全 2025-04-23 11:10 在不断发展的网络安全格局中，攻击者不断设计出新的方法来利用终端中的漏洞执行恶意代码。DLL 劫持是最近越来越流行的一种方法。虽然 DLL 劫持攻击有多种形式，但本文将探讨一种称为 DLL 代理的特定攻击类型，深入分析其工作原理、潜在风险，并简要介绍发现这些易受攻击的 DLL 的方法。这种方法导致发现了几个

继续阅读

Active! mail 中的RCE 0day漏洞用于攻击位于日本的机构

发布于 作者:

Active! mail 中的RCE 0day漏洞用于攻击位于日本的机构 Bill Toulas 代码卫士 2025-04-23 10:14 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 Active! mail 中存在一个远程代码执行 (RCE) 0day 漏洞，现已被用于攻击位于日本的大型组织机构。 Active! mail 最初是由 TransWARE 开发的一款基于 web 的邮件

继续阅读

绿盟科技披露2024年报，营收增长超40%，亏损收窄；漏洞研究新突破：利用ChatGPT快速创建利用代码 | 牛览

发布于 作者:

绿盟科技披露2024年报，营收增长超40%，亏损收窄；漏洞研究新突破：利用ChatGPT快速创建利用代码 | 牛览 安全牛 2025-04-23 08:49 新闻速览 •英国Ofcom禁止”全球标题码”租赁，遏制移动网络犯罪 •漏洞研究新突破：利用ChatGPT快速创建利用代码 •从边缘设备入侵：黑客新战术瞄准中小企业网络薄弱环节 •美国德州阿比林市遭遇网络攻击，多个系统被

继续阅读

【漏洞预警】泛微E-cology前台远程代码执行漏洞风险通告

发布于 作者:

【漏洞预警】泛微E-cology前台远程代码执行漏洞风险通告 原创 MasterC 企业安全实践 2025-04-23 07:50 一、漏洞描述 泛微E-cology是一款企业级协同办公自动化系统，主要为中大型企业提供全面的信息化解决方案。它以智能化、平台化和全程数字化为特点，是泛微网络科技有限公司开发的一款业务流程管理(BPM)和协同办公(Collaboration)平台。 近日，互联网上披露了

继续阅读

【漏洞预警】：紧急！H3C GR-3000AX代码执行漏洞或成内网渗透跳板

发布于 作者:

【漏洞预警】：紧急！H3C GR-3000AX代码执行漏洞或成内网渗透跳板 原创 52 易云安全应急响应中心 2025-04-23 07:35 点击上方蓝字 关注我们 漏洞预警 1、漏洞描述 近日，易云科技监测到一则H3C GR-3000AX远程代码执行漏洞。 H3C GR-3000AX 是新华三（H3C）推出的一款高性能企业级 Wi-Fi 6 无线路由器。产品 支持多场景组网， 支持 Wi-Fi

继续阅读

WordPress插件认证绕过与权限提升漏洞实例分析

发布于 作者:

WordPress插件认证绕过与权限提升漏洞实例分析 原创 cynault 奇安信天工实验室 2025-04-23 03:30 目 录 一、前  言 二、权限绕过漏洞 三、权限提升漏洞 四、 总  结 一 前  言 管理员权限用户能够执行更多敏感操作，也更容易导致RCE（远程代码执行）。在 WordPress 中，管理员拥有安装任意插件的权限，因此用户如果拥有管理员权限，几乎等同于获得RCE。 下

继续阅读

雷神众测漏洞周报2025.4.14-2025.4.20

发布于 作者:

雷神众测漏洞周报2025.4.14-2025.4.20 雷神众测 雷神众测 2025-04-23 01:50 摘要 以下内容，均摘自于互联网，由于传播，利用此文所提供的信息而造成的任何直接或间接的后果和损失，均由使用者本人负责，雷神众测以及文章作者不承担任何责任。 雷神众测拥有该文章的修改和解释权。如欲转载或传播此文章，必须保证此文章的副本，包括版权声明等全部内容。声明雷神众测允许，不得任意修改或

继续阅读

.NET 高级代码审计：一种尚未公开绕过 GZip 实现反序列化漏洞的方法

发布于 作者:

.NET 高级代码审计：一种尚未公开绕过 GZip 实现反序列化漏洞的方法 原创 专攻.NET安全的 dotNet安全矩阵 2025-04-23 00:28 在.NET反序列化漏洞审计与利用过程中，攻击者通过 BinaryFormatter  类型进行 payload 加载与执行。本文将从 GZip 技术基础出发，逐步分析如何结合 BinaryFormatter 触发反序列化漏洞，并介绍审计过程中

继续阅读

Erlang/OTP SSH 远程代码执行漏洞（CVE-2025-32433）POC及一键部署环境

发布于 作者:

Erlang/OTP SSH 远程代码执行漏洞（CVE-2025-32433）POC及一键部署环境 sec0nd安全 2025-04-22 15:06 免责声明： 本公众号所发布的全部内容，包括但不限于技术文章、POC脚本、漏洞利用工具及相关测试环境，均仅限于合法的网络安全学习、研究和教学用途。所有人在使用上述内容时，应严格遵守中华人民共和国相关法律法规以及道德伦理要求。未经明确的官方书面授权，严

继续阅读

仅有不到一半的可利用漏洞被企业修复，GenAI 漏洞更低

发布于 作者:

仅有不到一半的可利用漏洞被企业修复，GenAI 漏洞更低 Dark Reading 代码卫士 2025-04-22 10:34 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 渗透测试即服务 (PTaaS) 的先锋、攻击性安全服务领先提供商 Cobalt 发布第七份年度《渗透测试现状》报告披露称，在所有可被利用的漏洞中，被组织机构修复的不到一半，而仅有21%的生成式AI app中的漏洞得到修

继续阅读

漏洞通告 | 泛微E-cology前台远程代码执行漏洞（NVDB-CNVDB-2025530957）

发布于 作者:

漏洞通告 | 泛微E-cology前台远程代码执行漏洞（NVDB-CNVDB-2025530957） 原创 微步情报局 微步在线研究响应中心 2025-04-22 08:59 漏洞概况 泛微E-cology是一款企业级协同办公自动化系统，主要为中大型企业提供全面的信息化解决方案。它以智能化、平台化和全程数字化为特点，旨在提升组织的协同办公效率和管理水平。 近日，微步情报局通过X漏洞奖励计划获取到泛

继续阅读

CVE-2025-33028：WinZip 再次爆出漏洞通过 MotW 绕过导致用户遭受静默代码执行，目前无补丁

发布于 作者:

CVE-2025-33028：WinZip 再次爆出漏洞通过 MotW 绕过导致用户遭受静默代码执行，目前无补丁 独眼情报 2025-04-22 05:34 热门文件压缩工具 WinZip 被发现存在一个安全漏洞，数百万用户面临静默代码执行的风险。该漏洞编号为 CVE-2025-33028，可绕过 Web 标记 (MotW)，允许攻击者通过精心设计的压缩文件传递恶意负载，而无需触发常见的 Wind

继续阅读

安全通告丨网络安全漏洞通告（2025年4月）

发布于 作者:

安全通告丨网络安全漏洞通告（2025年4月） 创信华通 2025-04-22 05:20 作为国内权威的安全漏洞通告组织，创信华通基于自身的威胁情报和漏洞挖掘能力，对全球最新的安全漏洞及安全事件进行跟踪研究，在第一时间向用户提供高危漏洞、威胁攻击的解决办法及情报资讯，以帮助用户提升网络安全的预警和响应能力。 一、 漏洞预警 / 2025.4 在第一时间内向用户发布高危漏洞预警，通告漏洞的危害程度、

继续阅读

从代码看Java反序列化漏洞

发布于 作者:

从代码看Java反序列化漏洞 原创 信安魔方 锐鉴安全 2025-04-22 04:44 声明：请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，作者不为此承担任何责任。 请大家关注公众号支持，不定期有宠粉福利 Part-01 基础 知识 Java 是面向对象编程的,当你想把某个对象存储起来以便长期使用时,便 需要用到 J

继续阅读

Cellebrite 零日漏洞攻击塞尔维亚学生活动人士的手机

发布于 作者:

Cellebrite 零日漏洞攻击塞尔维亚学生活动人士的手机 Ots安全 2025-04-22 01:09 国际特赦组织安全实验室与国际特赦组织欧洲区域办事处合作，发现了一起新的案件，该案件中有人滥用 Cellebrite 产品侵入了塞尔维亚一名青年活动家的手机。此次攻击与我们此前在 2024 年 12 月发布的报告《数字监狱》中记录的攻击形式非常相似。这一新案例进一步证明，尽管塞尔维亚国内外普遍

继续阅读

Kimsuky APT组织利用 BlueKeep RDP 漏洞对韩国日本发起攻击

发布于 作者:

Kimsuky APT组织利用 BlueKeep RDP 漏洞对韩国日本发起攻击 会杀毒的单反狗 军哥网络安全读报 2025-04-22 01:00 导读 研究人员发现与曹县关联的 APT 组织 Kimsuky 的攻击活动，该组织利用已修补的 Microsoft 远程桌面服务漏洞来获取初始访问权限。 在调查一起安全漏洞时，韩国安博士实验室安全情报中心 (ASEC) 的研究人员发现了与朝鲜有关联的组

继续阅读