标签： 代码

用友畅捷通Tplus远程命令执行漏洞

发布于 作者:

用友畅捷通Tplus远程命令执行漏洞 深瞳漏洞实验室 深信服千里目安全技术中心 2023-06-10 13:44 漏洞名称： 用友畅捷通Tplus远程命令执行漏洞 组件名称： 用友畅捷通Tplus  影响范围： 用友畅捷通Tplus 13.0 用友畅捷通Tplus 16.0 漏洞类型： 命令执行 利用条件： 1、用户认证：未知 2、前置条件：未知 3、触发方式：远程 综合评价： <综合评定利

继续阅读

漏洞风险提示｜畅捷通T+ SQL注入漏洞

发布于 作者:

漏洞风险提示｜畅捷通T+ SQL注入漏洞 长亭安全应急响应 黑伞安全 2023-06-09 18:59 畅捷通T+是一款企业资源规划（ERP）软件，主要功能包括财务管理、销售管理、采购管理以及库存管理等，助力企业实现业务流程自动化。近期，长亭科技监测到微步在线发布一则漏洞通告，声明畅捷通T+发布新版本修复了一个RCE漏洞。长亭应急团队经过漏洞分析后，发现该漏洞类型为SQL注入，可利用其实现RCE。

继续阅读

【火绒安全周报】微软因侵犯儿童隐私被罚两千万美元/本田被曝存在API漏洞

发布于 作者:

【火绒安全周报】微软因侵犯儿童隐私被罚两千万美元/本田被曝存在API漏洞 火绒安全 火绒安全 2023-06-09 18:01 01 微软因侵犯儿童隐私被罚两千万美元 据报道，微软同意支付 2000 万美元罚款并改变儿童数据隐私程序，以解决联邦贸易委员会（ FTC ）对其违反《儿童在线隐私保护法》（ COPPA ）的指控。微软被指控在未征得父母同意的情况下，收集并保留了注册 Xbox Live 服

继续阅读

Chrome v8 Issue 1203122：IC类型混淆漏洞原理

发布于 作者:

Chrome v8 Issue 1203122：IC类型混淆漏洞原理 苏啊树 看雪学苑 2023-06-09 17:59 问题出现场景： 假设对象 A，其偏移 +10的地方有一个属性 x，这个属性为数字，同时存在一个 B对象，这个对象偏移 +10的地方是一个 Object对象地址。( v8在性能优化的时候会使用对象地址加偏移的方法来直接获取属性，比如在 IC内联缓存，还有 JIT优化以后。) 实际

继续阅读

尽快更新！VMware修复严重远程代码执行漏洞

发布于 作者:

尽快更新！VMware修复严重远程代码执行漏洞 看雪学苑 看雪学苑 2023-06-09 17:59 虚拟化巨头VMware于6月9日新发布了多个安全补丁，以解决VMware Aria Operations for Networks中的三个严重漏洞——未经身份验证的攻击者可利用它来远程执行任意代码、访问敏感信息。 VMware Aria Operations for Networks是一个网络可见

继续阅读

本田电商平台有漏洞，客户和交易商数据被泄露

发布于 作者:

本田电商平台有漏洞，客户和交易商数据被泄露 Eduard Kovacs 代码卫士 2023-06-09 17:56 聚焦源代码安全，网罗国内外最新资讯！**** 编译：代码卫士 研究员披露了从本田设备销售电商平台上发现的多个严重漏洞，它们可被攻击者用于访问客户和交易商信息。 这些漏洞和数据泄露情况是由美国安全研究员 Eaton Zveare 在今年早些时候发现的。他在3月中旬将问题告知本田，后者立

继续阅读

0day通告|畅捷通T+前台远程命令执行漏洞

发布于 作者:

0day通告|畅捷通T+前台远程命令执行漏洞 原创 微步情报局 微步在线研究响应中心 2023-06-08 20:20 01 漏洞概况**** 畅捷通T+是一款主要针对中小型工贸和商贸企业的财务业务一体化应用，融入了社交化、移动化、物联网、电子商务、互联网信息订阅等元素。近日，微步在线漏洞团队通过“X漏洞奖励计划”获取到畅捷通T+前台远程命令执行漏洞情报(0day)，攻击者可以通过该漏洞执行任意命

继续阅读

漏洞风险提示｜GeoServer SQL注入漏洞（CVE-2023-25157）

发布于 作者:

漏洞风险提示｜GeoServer SQL注入漏洞（CVE-2023-25157） 长亭安全应急响应 黑伞安全 2023-06-08 19:50 GeoServer是一款开源的地理数据服务器软件，主要用于发布、共享和处理各种地理空间数据。它支持众多的地图和空间数据标准，能够使各种设备通过网络来浏览和使用这些地理信息数据。近期，长亭科技监测到GeoServer发布新版本修复了一个SQL注入漏洞。经过漏

继续阅读

【安全圈】本田被曝存在API漏洞，客户数据正处于高风险状态

发布于 作者:

【安全圈】本田被曝存在API漏洞，客户数据正处于高风险状态 安全圈 2023-06-08 19:01 关键词 系统漏洞 近日，本田被曝存在API漏洞，客户数据正处于高风险状态。由于利用API漏洞可以重置任何帐户的密码，所以本田的电力设备、船舶、草坪和花园电子商务平台等都极易遭到外部人员的入侵。 几个月前，一位化名Eaton Works的安全研究人员发现了本田系统的安全漏洞，他利用该漏洞入侵了本田的

继续阅读

新品预告 | 漏洞数量创10年新高，一键屏蔽神器将面世

发布于 作者:

新品预告 | 漏洞数量创10年新高，一键屏蔽神器将面世 原创 青藤，让云更安全 青藤云安全 2023-06-08 18:30 【文末一键预约直播】据Statista统计，2022年发现了22,514个常见的IT安全漏洞，这是迄今报告的最高年度数字。据SecurityWeek报道，2022年出现了一些高危的零日漏洞，其中微软约占23%，谷歌Chrome占17%，苹果产品(iOS和macOS零日漏洞合

继续阅读

【已复现】Nacos 集群Raft反序列化漏洞安全风险通告第二次更新

发布于 作者:

【已复现】Nacos 集群Raft反序列化漏洞安全风险通告第二次更新 原创 QAX CERT 奇安信 CERT 2023-06-08 15:13 ●  点击↑蓝字关注我们，获取更多安全风险通告 漏洞概述 漏洞名称 Nacos 集群Raft反序列化漏洞 漏洞编号 QVD-2023-13065 公开时间 2023-05-25 影响对象数量级 万级 奇安信评级 高危 CVSS 3.1分数 8.1 威胁类

继续阅读

最受渗透测试工程师欢迎的10款漏洞扫描工具（2023版）

发布于 作者:

最受渗透测试工程师欢迎的10款漏洞扫描工具（2023版） 安全牛 2023-06-08 13:03 漏洞扫描工具是现代企业开展渗透测试服务中必不可少的工具之一，可以帮助渗透测试工程师快速发现被测应用程序、操作系统、计算设备和网络系统中存在的安全风险与漏洞，并根据这些漏洞的危害提出修复建议。常见的漏洞扫描工具包括漏洞发现扫描、全功能扫描和合规性扫描。在实际工作中，渗透测试工程师往往会根据测试项目的需

继续阅读

Nacos 反序列化漏洞通告

发布于 作者:

Nacos 反序列化漏洞通告 原创 360CERT 三六零CERT 2023-06-07 16:29 赶紧点击上方话题进行订阅吧！ 报告编号：CERT-R-2023-204 报告来源：360CERT 报告作者：360CERT 更新日期：2023-06-07 1 漏洞简述 2023年06月07日，360CERT监测发现Nacos的风险通告，漏洞等级：高危，漏洞评分：8.1。 Nacos 是一个易于构

继续阅读

[漏洞分析] 【CVE-2021-3490】eBPF verifier 32 位边界计算错误漏洞分析与利用

发布于 作者:

[漏洞分析] 【CVE-2021-3490】eBPF verifier 32 位边界计算错误漏洞分析与利用 原创 吾爱pojie 吾爱破解论坛 2023-06-07 12:46 作者论坛账号：arttnba3 0x00. 一切开始之前 CVE-2021-3490 是一个发生在 eBPF verifier 中的漏洞，由于 eBPF verifier 在校验位运算操作（ 与、或、异或 ）时没有正确地更

继续阅读

【漏洞通告】Nacos Raft协议反序列化代码执行漏洞

发布于 作者:

【漏洞通告】Nacos Raft协议反序列化代码执行漏洞 NS-CERT 绿盟科技CERT 2023-06-07 12:01 通告编号:NS-2023-0023 2023-06-07 TAG： Nacos、Raft、反序列化 漏洞危害： 攻击者利用漏洞可实现代码执行。 版本： 1.0 1 漏洞概述 近日，绿盟科技CERT监测发现到Nacos的Raft协议存在反序列化漏洞。由于Nacos集群对部分J

继续阅读

OWASP发布大型语言模型漏洞威胁Top10（草案清单）

发布于 作者:

OWASP发布大型语言模型漏洞威胁Top10（草案清单） 安全牛 2023-06-07 11:18 基于大型语言模型（LLM）的生成式AI技术应用已经成为当前全球企业普遍关注的热点。作为一种创新技术，企业组织在未来数字化发展中有很多机会应用ChatGPT或类似AI工具。因此，CISO们需要提前做好准备，以避免可能出现的安全隐患和隐私泄露风险。 日前，OWASP（全球开放应用软件安全项目组织）发布了

继续阅读

漏洞风险提示｜Nacos Jraft Hessian反序列化漏洞

发布于 作者:

漏洞风险提示｜Nacos Jraft Hessian反序列化漏洞 长亭安全应急响应 黑伞安全 2023-06-07 09:01 Nacos是一个开源的、易于使用的动态服务发现、配置和服务管理平台，适合构建云原生应用。它提供了一种统一的数据管理和服务发现解决方案。近期，长亭科技监测到Nacos发布新版本修复了一个远程代码执行漏洞。经过漏洞分析后，发现该系统应用较为广泛，且漏洞影响范围较大。应急团队根

继续阅读

Azure API 管理服务上的经过身份验证的 SSRF 漏洞

发布于 作者:

Azure API 管理服务上的经过身份验证的 SSRF 漏洞 枇杷五星加强版 黑伞安全 2023-06-06 18:30 我们描述了我们如何发现 Azure API 管理服务上的一个重要的服务器端请求伪造 (SSRF) 漏洞，允许任何经过身份验证的用户请求滥用服务器的任何 URL。 我们于 11 月 12 日向 Microsoft 报告了此漏洞，并于 2022 年 11 月 16 日修复了该漏洞

继续阅读

MOVEit Transfer 漏洞似乎被广泛利用

发布于 作者:

MOVEit Transfer 漏洞似乎被广泛利用 关键基础设施安全应急响应中心 2023-06-06 15:29 Progress Software 已在其文件传输软件 MOVEit Transfer 中发现一个漏洞，该漏洞可能导致权限提升和潜在的未经授权访问环境，该公司在一份安全公告中表示。  在 MOVEit Transfer Web 应用程序中发现了一个 SQL 注入漏洞，可能允许未经身份

继续阅读

Nacos 集群Raft反序列化漏洞安全风险通告

发布于 作者:

Nacos 集群Raft反序列化漏洞安全风险通告 奇安信 CERT 2023-06-06 11:57 ●  点击↑蓝字关注我们，获取更多安全风险通告 漏洞概述 漏洞名称 Nacos 集群Raft反序列化漏洞 漏洞编号 QVD-2023-13065 公开时间 2023-05-25 影响数量级 万级 漏洞等级 高危 漏洞评分 8.1 威胁类型 代码执行 利用可能性 中 POC状态 未发现 在野利用状态

继续阅读

【安全圈】Zyxel 防火墙曝出高危安全漏洞，现已修复！

发布于 作者:

【安全圈】Zyxel 防火墙曝出高危安全漏洞，现已修复！ 安全圈 2023-06-05 19:01 关键词 安全漏洞 日前，Zyxel发布了一份指南，旨在保护防火墙和VPN设备免受利用CVE-2023-28771、CVE-2023-33009和CVE-2023-33010漏洞的持续攻击。 指南中提到，该公司一直在通过多种渠道敦促用户安装补丁，比如已经给注册用户和资讯订阅者发送了多份安全资讯，通过本

继续阅读

插件分享 | Headshot ⼀击即中，对指定URL进行漏洞批量扫描

发布于 作者:

插件分享 | Headshot ⼀击即中，对指定URL进行漏洞批量扫描 原创 kv2 GobySec 2023-06-05 18:14 G o b y 社 区 第 2 4 篇 插 件 分 享 文 章 全 文 共 ： 2445 字 预 计 阅 读 时 间 ： 7 分 钟 在⼀次真实的攻防场景中，我们发现了⼀个存在 Struts2 漏洞的地址，这个地址在我们通过 Fuzz 获得的⼆级⽬录下，这使得 G

继续阅读