【已复现】Apache Struts文件上传漏洞（CVE-2024-53677）
【已复现】Apache Struts文件上传漏洞（CVE-2024-53677） cexlife 飓风网络安全 2024-12-17 15:21 漏洞描述: Apache Struts是一个开源的、用于构建企业级Java Web应用的MVC框架,2024年12月,官方披露CVE-2024-53677ApacheStruts FileUploadInterceptor文件上传漏洞,在受影响版本中,若
继续阅读标签： 代码
【安全漏洞】Apache Struts任意文件上传漏洞S2-067【CVE-2024-53677】 POC 已发布
【安全漏洞】Apache Struts任意文件上传漏洞S2-067【CVE-2024-53677】 POC 已发布 原创 Eleven Liu 安全有术 2024-12-17 15:15 漏洞概述 Apache Struts是用于创建Java Web应用程序的开源框架，旨在为Java Web开发提供一个灵活、强大且易于扩展的解决方案，应用非常广泛。 Apache发布安全公告修复了Apache St
继续阅读一次完整的Jwt伪造漏洞实战案例
一次完整的Jwt伪造漏洞实战案例 原创 Tai Code4th安全团队 2024-12-17 14:11 本文章由团队师傅[Tai]授权发布 某次漏洞挖掘 时 遇到了任 意用户登录漏洞，这次的漏洞案例是由于 jwt 存在弱密钥，攻击者可以伪造 jwt ，从而获取非授权访问权限。此外站点还存在弱口令，可以通过弱口令登录 druid 后台，查看敏感信息。 首先通过微信搜索小程序，找到目标。 点击进入小
继续阅读【0day】99bitbet双语言交易所存在前台任意文件读取漏洞
【0day】99bitbet双语言交易所存在前台任意文件读取漏洞 原创 Mstir 星悦安全 2024-12-17 12:13 点击上方 蓝字 关注我们 并设为 星标 0x00 前言 99bitbet双语言Usdt竞猜源码/海外PC28虚拟货币竞猜玩法/根据虚拟货币行情走势自动开奖结算/带预设开奖结果，首页加了一个k线图表走势，只是为了美观，不做其他用途，自己研究。 Fofa指纹:“/
继续阅读Apache Solr 身份验证绕过漏洞分析（CVE-2024-45216）
Apache Solr 身份验证绕过漏洞分析（CVE-2024-45216） 原创 元亨-blckder02 中孚安全技术研究 2024-12-17 12:00 前言 官方公告： https://solr.apache.org/security.html#cve-2024-45216-apache-solr-authentication-bypass-possible-using-a-fake-u
继续阅读iOS和macOS系统曝关键漏洞，可破坏TCC框架
iOS和macOS系统曝关键漏洞，可破坏TCC框架 网安百色 2024-12-17 11:30 点击上方 蓝字 关注我们吧~ 近日，苹果iOS和macOS系统中被曝光一个关键的安全漏洞，若被成功利用，可能会绕过透明度、同意和控制（TCC）框架，导致用户敏感信息被未经授权访问。漏洞编号CVE-2024-44131，存在于文件提供组件中，苹果通过在iOS 18、iPadOS 18和macOS Sequ
继续阅读【安全圈】最新的Windows内核漏洞，可获system权限
【安全圈】最新的Windows内核漏洞，可获system权限 安全圈 2024-12-17 11:01 关键词 内核漏洞 网络安全和基础设施安全局（CISA）已将两个新的漏洞添加到其已知被利用漏洞目录中，其中一个是涉及 Windows 内核的漏洞，目前正被用于攻击。 该漏洞编号为CVE-2024-35250，具体是在 Windows 的 ks.sys 驱动中存在的 “不受信任的指针解引
继续阅读【处置手册】Apache Struts任意文件上传漏洞S2-067(CVE-2024-53677)
【处置手册】Apache Struts任意文件上传漏洞S2-067(CVE-2024-53677) 原创 NS-CERT 绿盟科技CERT 2024-12-17 10:23 通告编号:NS-2024-0036-1 2024-12-17 TAG： Apache Struts、S2-067、CVE-2024-53677 漏洞危害： 攻击者利用此漏洞，可实现任意文件上传。 版本： 1.1 1 漏洞概述
继续阅读Windows 内核漏洞已被用于获取系统权限
Windows 内核漏洞已被用于获取系统权限 Sergiu Gatlan 代码卫士 2024-12-17 10:01 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 CISA 提醒美国联邦机构保护系统免受一个高危Windows 内核漏洞 (CVE-2024-35250) 的影响。 该漏洞是因为一个不受信任的指针解引用弱点引发的。该弱点可导致本地攻击者无需用户交互，就能在复杂度低的攻击中获取系
继续阅读安卓间谍软件 NoviSpy 利用高通6个0day感染设备
安卓间谍软件 NoviSpy 利用高通6个0day感染设备 Bill Toulas 代码卫士 2024-12-17 10:01 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 塞尔维亚政府利用高通的多个0day漏洞，解锁并通过新型间谍软件 “NoviSpy” 感染安卓设备，监控活动家、记者和抗议人员。 与这些攻击相关联的其中一个高通漏洞是CVE-2024-43047。谷歌 Project Z
继续阅读【漏洞复现】CVE-2024-8963、CVE-2024-8190
【漏洞复现】CVE-2024-8963、CVE-2024-8190 原创 混子Hacker 混子Hacker 2024-12-17 09:56 免责声明 请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，文章作者不承担任何法律及连带责任。 [ 漏洞简介 ] —— 咱得静悄悄的干，输了呢就当没干过 【 摘自
继续阅读PbootCMS V3.2.9前台SQL注入漏洞（上）
PbootCMS V3.2.9前台SQL注入漏洞（上） 原创 烽火台实验室 Beacon Tower Lab 2024-12-17 09:30 0x01 前言 PbootCMS是全新内核且永久开源免费的PHP企业网站开发建设管理系统，是一套高效、简洁、 强悍的可免费商用的PHP CMS源码，能够满足各类企业网站开发建设的需要。系统采用简单到想哭的模板标签，只要懂HTML就可快速开发企业网站。官方提
继续阅读漏洞预警|CVE-2024-49112 Windows 轻量级目录访问协议 （LDAP） 远程代码执行漏洞
漏洞预警|CVE-2024-49112 Windows 轻量级目录访问协议 （LDAP） 远程代码执行漏洞 SecHub网络安全社区 2024-12-17 09:25 点击蓝字 关注我们 免责声明 本文发布的工具和脚本，仅用作测试和学习研究，禁止用于商业用途，不能保证其合法性，准确性，完整性和有效性，请根据情况自行判断。 如果任何单位或个人认为该项目的脚本可能涉嫌侵犯其权利，则应及时通知并提供身份
继续阅读(0day)秒优科技供应链管理系统存在SQL注入漏洞
(0day)秒优科技供应链管理系统存在SQL注入漏洞 原创 WebSec WebSec 2024-12-17 09:13 阅读须知 亲爱的读者，我们诚挚地提醒您，WebSec实验室的技术文章仅供个人研究学习参考。任何因传播或利用本实验室提供的信息而造成的直接或间接后果及损失，均由使用者自行承担责任。WebSec实验室及作者对此概不负责。如有侵权，请立即告知，我们将立即删除并致歉。感谢您的理解与支持
继续阅读古河大佬发现的最新漏洞：Windows LDAP RCE漏洞（9.8）
古河大佬发现的最新漏洞：Windows LDAP RCE漏洞（9.8） 独眼情报 2024-12-17 08:36 微软披露了其轻量级目录访问协议 (LDAP) 服务中存在的一个严重远程代码执行 (RCE) 漏洞，编号为 CVE-2024-49112。此漏洞是该公司 12 月补丁星期二更新的一部分，它使未经身份验证的攻击者能够在 LDAP 服务上下文中执行任意代码，从而对企业网络构成严重风险。该漏
继续阅读漏洞通告｜Apache Struts 2远程代码执行漏洞（S2-067）(CVE-2024-53677)
漏洞通告｜Apache Struts 2远程代码执行漏洞（S2-067）(CVE-2024-53677) 威胁情报运营中心 矢安科技 2024-12-17 06:33
继续阅读某科云连ERP系统存在任意文件读取漏洞
某科云连ERP系统存在任意文件读取漏洞 原创 xiaokp7 xiaokpSec 2024-12-17 05:35 免责声明 文章所涉及内容，仅供安全研究与教学之用，由于传播、利用本文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，作者不为此承担任何责任。 漏洞分析 由于未对用户查看或下载的文件做限制，恶意用户就能够查看或下载任意的文件，可以是源代码文件、敏感文件等、如脚本代
继续阅读通过 CVE-2024-52875 攻击 Kerio Control：从 CRLF 注入到一键 RCE
通过 CVE-2024-52875 攻击 Kerio Control：从 CRLF 注入到一键 RCE Ots安全 2024-12-17 05:29 Kerio Control，以前称为 Kerio WinRoute 防火墙，现在是一种非常流行的防火墙和统一威胁管理 (UTM) 产品，由GFI Software拥有和开发：根据Censys 的数据，目前整个互联网上有大约两万个 Kerio Cont
继续阅读24年11月必修安全漏洞清单｜腾讯安全威胁情报中心
24年11月必修安全漏洞清单｜腾讯安全威胁情报中心 腾讯威胁情报中心 腾讯安全威胁情报中心 2024-12-17 03:14 所谓必修漏洞，就是运维人员必须修复、不可拖延、影响范围较广的漏洞，被黑客利用并发生入侵事件后，会造成十分严重的后果。 腾讯安全威胁情报中心参考“安全漏洞的危害及影响力、漏洞技术细节披露情况、该漏洞在安全技术社区的讨论热度”等因素，综合评估该漏洞在攻防实战场景的风险。当漏洞综
继续阅读腾讯云安全情报中心推出2024年11月必修安全漏洞清单
腾讯云安全情报中心推出2024年11月必修安全漏洞清单 原创 腾讯威胁情报中心 安全攻防团队 2024-12-17 03:06 所谓必修漏洞，就是运维人员必须修复、不可拖延、影响范围较广的漏洞，被黑客利用并发生入侵事件后，会造成十分严重的后果。 腾讯云安全情报中心参考“安全漏洞的危害及影响力、漏洞技术细节披露情况、该漏洞在安全技术社区的讨论热度”等因素，综合评估该漏洞在攻防实战场景的风险。当漏洞综
继续阅读【漏洞复现】某平台-TUploadImgNoCheck-fileupload任意文件上传漏洞
【漏洞复现】某平台-TUploadImgNoCheck-fileupload任意文件上传漏洞 原创 南极熊 SCA御盾 2024-12-17 02:52 关注SCA御盾共筑网络安全 （文末见星球活动） SCA御盾实验室的技术文章仅供参考，此文所提供的信息只为网络安全人员对自己所负责的网站、服务器等（包括但不限于）进行检测或维护参考，未经授权请勿利用文章中的技术资料对任何计算机系统进行入侵操作。利用
继续阅读学员分享 | CISP-PTS—渗透测试进阶的不二之选
学员分享 | CISP-PTS—渗透测试进阶的不二之选 学员心得分享 安全牛课堂 2024-12-17 02:48 身为一名在渗透测试领域摸爬滚打过几年的从业者，深知在这个技术飞速更迭、攻防对抗日益激烈的行业里，持续提升自己的专业技能是多么关键。今天，我把自己亲身经历且受益匪浅的 CISP-PTS 培训推荐给各位同行以及有志于投身渗透测试领域的朋友们。 起初，在日常的渗透测试工作中，我虽积累了一定
继续阅读DFA攻击白盒AES复现——某新能源车企
DFA攻击白盒AES复现——某新能源车企 原创 Lychow 逆向成长日记 2024-12-17 02:46 原文链接 ： https://wx.zsxq.com/group/51111114544514/topic/4844528181528428 样本下载链接： aHR0cHM6Ly93d3cud2FuZG91amlhLmNvbS9hcHBzLzM2NjM1NS9oaXN0b3J5X3YyMj
继续阅读CVSS漏洞评分系统曝出严重缺陷
CVSS漏洞评分系统曝出严重缺陷 GoUpSec 2024-12-17 02:19 随着漏洞披露量的持续增长和攻击复杂性的提升，准确的风险评估对于企业防御和漏洞修复至关重要。在近日举行的Black Hat欧洲大会上，金融巨头摩根大通的网络安全专家发出警告：当前广泛使用的漏洞严重性评估系统——通用漏洞评分系统（CVSS）存在重大缺陷，可能导致安全团队对漏洞风险误判，从而延长漏洞的暴露时间，增加组织面
继续阅读上周关注度较高的产品安全漏洞(20241209-20241215)
上周关注度较高的产品安全漏洞(20241209-20241215) 国家互联网应急中心CNCERT 2024-12-17 02:02 一、境外厂商产品漏洞 1、IBM Cognos Controller跨站请求伪造漏洞 IBM Cognos Controller是美国国际商业机器（IBM）公司的一套商业智能与计划解决方案。该产品具有流程自动化、财务审计控制、创建和管理财务报告等功能。 参考链接：h
继续阅读CVE-2024-53677:严重的Apache Struts RCE漏洞 PoC 已发布
CVE-2024-53677:严重的Apache Struts RCE漏洞 PoC 已发布 独眼情报 2024-12-17 01:31 CVE-2024-53677 安全公告：CVE-2024-53677 – 严重 Apache Struts 远程代码执行漏洞 日期：2024 年 12 月 14 日 CVE 编号：CVE-2024-53677 CVSS 评分：9.5（严重） 概述 流行的 Apac
继续阅读Windows 内核漏洞现被利用来获取系统权限
Windows 内核漏洞现被利用来获取系统权限 独眼情报 2024-12-17 01:31 CISA 已警告美国联邦机构，要求其系统防范针对高严重性 Windows 内核漏洞的持续攻击。 该安全漏洞被标记为 CVE-2024-35250，是由于不受信任的指针取消引用弱点造成的，该弱点允许本地攻击者在不需要用户交互的低复杂度攻击中获得 SYSTEM 权限。 虽然微软在 6 月份发布的安全公告中没有分
继续阅读【漏洞预警】蓝凌OA-thirdimsyncforkkwebservice-文件读取
【漏洞预警】蓝凌OA-thirdimsyncforkkwebservice-文件读取 原创 马赛克安全实验室 马赛克安全实验室 2024-12-17 01:07 免责声明请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，作者不为此承担任何责任。工具来自网络，安全性自测，如有侵权请联系删除。本次测试仅供学习使用，如若非法他用
继续阅读文件传输平台Cleo零日漏洞，Clop团伙声称对数据盗窃攻击负责
文件传输平台Cleo零日漏洞，Clop团伙声称对数据盗窃攻击负责 E安全 2024-12-17 01:02 E安全消息，Clop勒索软件团伙已向BleepingComputer证实，他们是最近Cleo数据盗窃攻击的幕后黑手，利用零日漏洞入侵公司网络并窃取数据。 Cleo是管理文件传输平台Cleo Harmony、VLTrader和LexiCom的开发商，企业使用这些平台与商业伙伴安全地交换文件。
继续阅读DTStack Taier 1.4.0 listNames sql注入分析(CVE-2024-41579)
DTStack Taier 1.4.0 listNames sql注入分析(CVE-2024-41579) 原创 韭菜 fraud安全 2024-12-17 01:00 通告 漏洞分析 根据参考文献，很幸运发现了payload 通过payload可以知道漏洞触发接口是listNames 触发参数是jobName 在项目的Model 层和xml文件 查询jobName 在Java中sql拼接大致分为
继续阅读