Apache Httpd 常见漏洞解析（全）
Apache Httpd 常见漏洞解析（全） 船山信安 2025-05-24 06:56 一、Apache HTTPD 换行解析漏洞 漏洞编号：CVE-2017-15715 Apache HTTPD是一款HTTP服务器，它可以通过mod_php来运行PHP网页。 其2.4.0~2.4.29版本中存在一个解析漏洞。 在解析PHP时，1.php\x0A将被按照PHP后缀进行解析，导致绕过一些服务器的安
继续阅读标签： 命令执行
代码审计| U8 FileManageServlet 文件读取漏洞分析
代码审计| U8 FileManageServlet 文件读取漏洞分析 原创 莫大130 安全逐梦人 2025-05-24 04:36 最近在写工具，分析官方漏洞补丁给自己的工具添加上一些day，这些day可能用不到，万一有一天用到了呢 补丁链接 https://security.yonyou.com/#/noticeInfo?id=680 漏洞分析 补丁代码 限制下载路径必须在 ${NCHome
继续阅读【一周安全资讯0524】《2025年深入推进IPv6规模部署和应用工作要点》印发；英特尔CPU曝重大安全漏洞，可导致内存泄露
【一周安全资讯0524】《2025年深入推进IPv6规模部署和应用工作要点》印发；英特尔CPU曝重大安全漏洞，可导致内存泄露 聚铭网络 2025-05-24 03:00 WEEKLY NEWS 每周安全资讯 新鲜资讯热点都在这里 要闻速览 1 中央网信办等三部门印发《2025年深入推进IPv6规模部署和应用工作要点》 2 公安部网安局部署依托网络安全服务认证体系加强等级测评监管工作 3 英特尔CP
继续阅读漏洞还是功能：MCP安全与逆向工程实践的权衡
漏洞还是功能：MCP安全与逆向工程实践的权衡 原创 裴伟伟 洞源实验室 2025-05-24 01:30 在上一篇文章《模型上下文协议（MCP）的原理与安全挑战》 ，笔者有介绍 MCP 的基本概念和安全风险，有留言问其中的示例代码看着像 Function Call 而不是 MCP 。因为是示例代码的关系，整个代码中的关键部分看起来和 Function Call 没有差别，但其实 MCP 的关键在于
继续阅读漏洞预警｜Clash Verge 远程命令执行漏洞
漏洞预警｜Clash Verge 远程命令执行漏洞 威胁情报运营中心 矢安科技 2025-05-24 01:06
继续阅读ViciousTrap 威胁组织利用思科漏洞用 5,300 台受感染设备构建全球蜜罐
ViciousTrap 威胁组织利用思科漏洞用 5,300 台受感染设备构建全球蜜罐 会杀毒的单反狗 军哥网络安全读报 2025-05-24 01:00 导读 网络安全研究人员称，代号为 ViciousTrap 的威胁组织入侵了 84 个国家近 5,300 个独特的网络边缘设备，并将它们变成了类似蜜罐的网络。 据观察，威胁组织利用影响思科小型企业 RV016、RV042、RV042G、RV082、
继续阅读全网首发！CVE-2025-24813 Tomcat 最新 RCE 分析复现
全网首发！CVE-2025-24813 Tomcat 最新 RCE 分析复现 菜狗 富贵安全 2025-05-24 00:03 漏洞概况 Tomcat 是一个开源的、轻量级的 Web 应用服务器 和 Servlet 容器。它由 Apache 软件基金会下的 Jakarta 项目开发，是目前最流行的 Java Web 服务器之一。 该漏洞利用条件较为复杂，需同时满足以下四个条件： 1. 应用程序启用
继续阅读通过细节挖掘漏洞的艺术
通过细节挖掘漏洞的艺术 菜狗 富贵安全 2025-05-24 00:03 低价享受高价 锁定一个购票小程序.购买出行船票或车票时都区分为 二等座 一等座 包括舱位、上下卧铺价格也不同上,包括成人价格 儿童老年人优惠等,站点特征明显,厚码叠甲 选择一个目的地出行,然后下单记录数据包 选择一个目的地BP记录到了创建订单的接口shipgateway/shipOrderApi/createOrder 创建
继续阅读全网震颤！黑客利用文件上传漏洞化身“虚空主宰”，百万服务器集体沦陷！
全网震颤！黑客利用文件上传漏洞化身“虚空主宰”，百万服务器集体沦陷！ 勤奋的运营姐姐 EnhancerSec 2025-05-24 00:01 甲方安全团队看到会连夜排查文件上传接口！ 白帽子边骂“这漏洞太低级”边点进来学绕过技巧！！ 普通用户误以为是科幻小说，点开却被技术细节震撼！！！ 算法推荐因“史诗级”“百万”等关键词疯狂推送！！！！ 你还在犹豫什么！速速点击关注公众号加入我们吧！！！！！
继续阅读浅谈src挖掘中——文件上传和XSS漏洞的组合拳
浅谈src挖掘中——文件上传和XSS漏洞的组合拳 routing 网络安全者 2025-05-23 16:01 0x1 前言 哈喽，师傅们好！ 这次打算给师弟们分享的是XSS之Flash弹窗钓鱼和文件上传getshell各种姿势的内容，然后先是给小白师傅们简单介绍下XSS漏洞和文件上传漏洞。然后后面给师傅们简单演示了XSS之Flash弹窗钓鱼，然后后面很详细的介绍了文件上传和XSS漏洞的组合拳的好
继续阅读Clash Verge 客户端 1-Click RCE 漏洞与蜜罐利用分析
Clash Verge 客户端 1-Click RCE 漏洞与蜜罐利用分析 Hee 安全的黑魔法 2025-05-23 14:17 Clash Verge 客户端 1-Click RCE 漏洞与蜜罐利用分析 漏洞分析 影响范围与组件 此漏洞影响特定版本的 Clash Verge 客户端及其集成的 Mihomo 核心。详细受影响组件及版本如下表所示： 名称 版本 地址 Clash Verge Rev
继续阅读BadSuccessor 漏洞究竟有多严重？Akamai 和微软意见不一
BadSuccessor 漏洞究竟有多严重？Akamai 和微软意见不一 Ryan Naraine 代码卫士 2025-05-23 10:34 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 Akamai 公司的安全团队公开披露了位于 Windows Server 2025中的一个未修复提权漏洞 “BadSuccessor” 的利用详情。该漏洞可导致攻击者攻陷活动目录中的任意用户。 Akam
继续阅读【国际视野】美国国家标准与技术研究院推出识别IT漏洞利用的公式
【国际视野】美国国家标准与技术研究院推出识别IT漏洞利用的公式 原创 天极智库 天极智库 2025-05-23 10:31 “ 天极按 近日， 网络安全和基础设施安全局（CISA）发布了《联合网络防御协作组织人工智能网络安全协作手册》（Joint Cyber Defense Collaborative (JCDC) Artificial Intelligence (AI) Cybersecurit
继续阅读等保测评中漏洞扫描：筑牢网络安全防线的关键利器
等保测评中漏洞扫描：筑牢网络安全防线的关键利器 国源天顺 2025-05-23 10:12 一、漏洞扫描的定义与核心价值 漏洞扫描是基于CVE、CNVD等权威漏洞数据库，通过自动化工具对信息系统进行系统性安全检测的技术手段。其核心价值在于通过模拟攻击行为，发现系统存在的软件缺陷、配置错误或未修复补丁等安全隐患，为安全加固提供精准依据。在等保测评体系中，漏洞扫描是验证信息系统是否符合《信息安全等级保
继续阅读Deep Recon 发现未经身份验证的上传和 IDOR 漏洞 — 获得赏金 $$$
Deep Recon 发现未经身份验证的上传和 IDOR 漏洞 — 获得赏金 $$$ haidragon 安全狗的自我修养 2025-05-23 07:42 初始阶段——选择目标 在 Bugcrowd 上探索通配符程序时，我偶然发现了一个很有潜力的目标。我决定深入挖掘，进行深入侦察，这是我非常享受的事情。 侦察阶段 我使用了一个侦察 bash 脚本： !/usr/bin/env bashdomai
继续阅读疑似俄罗斯APT28组织在全球攻击活动中利用0Day漏洞——每周威胁情报动态第223期 （05.16-05.22）
疑似俄罗斯APT28组织在全球攻击活动中利用0Day漏洞——每周威胁情报动态第223期 （05.16-05.22） 原创 BaizeSec 白泽安全实验室 2025-05-23 01:00 APT攻击 – 疑似俄罗斯 APT28 组织 在全球 攻击 活动中利用 0Day 漏洞 Swan-Vector APT组织通过DLL植入技术针对台湾与日本发动网络攻击 攻击活动 – 知名
继续阅读.NET WebShell 绕过 EDR 监控，不调用 cmd.exe 也能实现命令执行
.NET WebShell 绕过 EDR 监控，不调用 cmd.exe 也能实现命令执行 专攻.NET安全的 dotNet安全矩阵 2025-05-23 00:30 在红队渗透环境中， 攻防对抗的深度不断升级，安全厂商纷纷将注意力从传统病毒特征识别，转向对行为链的监控和阻断。 红队常用的 cmd.exe 指令执行方式在越来越多的场景中被标记为高危操作。即便你伪装得再好，只要触发了这一调用链，如E
继续阅读代理工具 Clash Verge 客户端出现新的 1-Click 远程代码执行漏洞
代理工具 Clash Verge 客户端出现新的 1-Click 远程代码执行漏洞 原创 JunYi 毅心安全 2025-05-22 16:01 代理工具 Clash Verge 客户端出现新的 1-Click 远程代码执行漏洞 代理工具 Clash Verge 客户端出现新的 1-Click 远程代码执行漏洞，访问特制的恶意网页即可触发本地文件写入，进一步利用各种软件的插件加载机制将文件写入扩展
继续阅读PDF 生成器漏洞利用：查找 PDF 生成器中 SSRF 漏洞的完整指南
PDF 生成器漏洞利用：查找 PDF 生成器中 SSRF 漏洞的完整指南 Z2O安全攻防 2025-05-22 16:01 PDF 生成器在应用程序中很常见。开发人员倾向于使用这些组件来根据数据库提供的动态数据生成文档。然而，并非所有开发人员都意识到集成此功能可能带来的潜在风险。 在本文中，我们将深入探讨在 PDF 生成器中处理未经清理的用户可控输入的含义，以及如何利用这些特性并升级我们的初步发现
继续阅读工具推荐 | RCE命令无回显利用工具
工具推荐 | RCE命令无回显利用工具 shanxi 星落安全团队 2025-05-22 16:00 点击上方 蓝字 关注我们 现在只对常读和星标的公众号才展示大图推送，建议大家能把 星落安全团队 “ 设为星标 ”， 否则可能就看不到了啦 ！ 工具介绍 RCE命令无回显利用工具，支持在Linux、Windows下使用，渗透测试中遇到执行命令无回显的场景时可以使用该工具通过curl外带命令达到回显的
继续阅读【高危漏洞预警】VMware VCenter Server 命令注入漏洞
【高危漏洞预警】VMware VCenter Server 命令注入漏洞 cexlife 飓风网络安全 2025-05-22 13:52 漏洞描述: VMware vCenter Server存在一个需授权的命令执行漏洞,具有创建或修改警报和运行脚本操作权限的恶意行为者可能会利用此问题在vCenter Server上运行任意命令,官方已经在新版本中修复此漏洞,建议受影响用户及时升级到安全版本。 影
继续阅读CVE-2025-26147：Denodo Scheduler 中经过身份验证的 RCE
CVE-2025-26147：Denodo Scheduler 中经过身份验证的 RCE Ots安全 2025-05-22 11:41 介绍 受影响产品摘要 Denodo提供一系列逻辑数据管理软件。 本博客重点介绍一款名为“Scheduler”的软件。Denodo Scheduler 可以调度和执行数据提取和集成作业。 受影响产品摘要 供应商：Denodo 产品：Denodo Scheduler
继续阅读2025攻防演练必修高危漏洞集合（1.0版）
2025攻防演练必修高危漏洞集合（1.0版） 漏洞情报中心 斗象科技 2025-05-22 10:15 高危风险漏洞一直是企业网络安全防护的薄弱点，也成为HW攻防演练期间红队的重要突破口；每年HW期间爆发了大量的高危风险漏洞成为红队突破网络边界防护的一把利器，很多企业因为这些高危漏洞而导致整个防御体系被突破、甚至靶标失守而遗憾出局。 攻防演练在即，斗象XVI扩展漏洞情报依托漏洞盒子的实时海量漏洞数
继续阅读【风险通告】VMware vCenter存在命令执行漏洞（CVE-2025-41225）
【风险通告】VMware vCenter存在命令执行漏洞（CVE-2025-41225） 安恒研究院 安恒信息CERT 2025-05-22 09:55 漏洞概述 漏洞名称 VMware vCenter存在命令执行漏洞（CVE-2025-41225） 安恒CERT评级 2级 CVSS3.1评分 8.8 CVE编号 CVE-2025-41225 CNVD编号 未分配 CNNVD编号 未分配 安恒CE
继续阅读Setuptools 漏洞导致数百万 Python 用户易受RCE攻击
Setuptools 漏洞导致数百万 Python 用户易受RCE攻击 Ddos 代码卫士 2025-05-22 09:32 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 广为使用的 setuptools 项目中存在一个严重的路径遍历漏洞CVE-2025-47273（CVSS v4 7.7），它可导致攻击者将文件写到受害者文件系统中的任意位置，在一定条件下可导致远程代码执行后果。该漏洞已修
继续阅读【漏洞通告】VMware vCenter Server认证命令执行漏洞(CVE-2025-41225)
【漏洞通告】VMware vCenter Server认证命令执行漏洞(CVE-2025-41225) 启明星辰安全简讯 2025-05-22 08:45 一、漏洞概述 漏洞名称 VMware vCenter Server认证命令执行漏洞 CVE ID CVE-2025-41225 漏洞类型 命令执行 发现时间 2025-05-22 漏洞评分 8.8 漏洞等级 高危 攻击向量 本地 所需权限 低
继续阅读漏洞复现|无垠智能模糊测试系统实战复现OpenSSL高危漏洞
漏洞复现|无垠智能模糊测试系统实战复现OpenSSL高危漏洞 原创 Yannis 云起无垠 2025-05-22 08:30 本文将详细介绍如何使用无垠智能模糊测试系统复现OpenSSL中的CVE-2022-3602漏洞。平台不仅简化了模糊测试流程，还通过AI赋能大幅提升了漏洞挖掘的效率和准确性，为企业构建自动化安全测试体系提供了强有力的支持。 背景介绍 在网络安全领域，OpenSSL作为广泛应用
继续阅读朱雀实验室协助vLLM修复CVSS 9.8分严重漏洞
朱雀实验室协助vLLM修复CVSS 9.8分严重漏洞 原创 腾讯朱雀实验室 腾讯安全应急响应中心 2025-05-22 03:24 作者：Kikay、Nicky 腾讯朱雀实验室发现vLLM推理框架存在严重安全漏洞（CVE-2025-47277，CVSS 9.8分），攻击者可利用此漏洞控制GPU服务器，窃取模型、算力或中断服务。vLLM团队已修复该漏洞并致谢腾讯朱雀实验室。 vLLM框架的重要性与安
继续阅读【漏洞预警】VMware VCenter Server 命令执行漏洞(CVE-2025-41225)
【漏洞预警】VMware VCenter Server 命令执行漏洞(CVE-2025-41225) 原创 聚焦网络安全情报 安全聚 2025-05-21 12:44 高 危 公 告 近日，安全聚实验室监测到 VMware VCenter Server 存在命令执行漏洞 ，编号为： CVE-2025-41225，CVSS:8.8 具有创建或修改警报权限的攻击者通过构造恶意警报并绑定脚本动作，可在
继续阅读VMware ESXi & vCenter 执行任意命令漏洞
VMware ESXi & vCenter 执行任意命令漏洞 网安百色 2025-05-21 11:28 Broadcom 的 VMware 部门披露了其虚拟化产品中的关键安全漏洞，包括一个高严重性漏洞，该漏洞可能允许经过身份验证的用户在受影响的系统上执行任意命令。 今天的安全公告解决了影响多个 VMware 产品的四个不同漏洞，严重性等级从中等到重要不等。 关键命令执行漏洞 最严重的漏洞
继续阅读