标签： 命令执行

Web篇 |【全网最详细】Apache CC反序列化漏洞：CC1调用链POC构造过程，干货！！！（上）

发布于 作者:

Web篇 |【全网最详细】Apache CC反序列化漏洞：CC1调用链POC构造过程，干货！！！（上） 原创 零日安全实验室 零日安全实验室 2025-03-22 13:48 免责声明！ 本 公众号所分享内容仅用于网络安全技术讨论，切勿用于违法途径，所有渗透都需获取授权，违者后果自行承担，与本号及作者无关，请谨记守法。 上一文章讲解了Apache CC漏洞的原理以及CC1调用链，这一文章我们继续接

继续阅读

GLPI 中的预认证 SQL 注入到 RCE（CVE-2025-24799/CVE-2025-24801）

发布于 作者:

GLPI 中的预认证 SQL 注入到 RCE（CVE-2025-24799/CVE-2025-24801） Ots安全 2025-03-21 20:01 在红队交战期间，已经发现了几个GLPI实例。该软件在法语公司中很受欢迎，其中一些公司甚至直接在互联网上公开其实例。众所周知，GLPI 历史上隐藏着多个易于发现的漏洞，而且由于它通常与 Active Directory 相连，因此在红队交战或内部基

继续阅读

Veeam与IBM发布备份和AIX系统高危漏洞补丁

发布于 作者:

Veeam与IBM发布备份和AIX系统高危漏洞补丁 FreeBuf 2025-03-21 18:14 Veeam近日发布了安全更新，修复了其备份与复制软件中的一个关键安全漏洞，该漏洞可能导致远程代码执行。 高风险漏洞详情 该漏洞被标记为CVE-2025-23120，CVSS评分为9.9（满分10.0），影响12.3.0.310及之前所有版本12的构建。Veeam在周三发布的公告中表示：“该漏洞允许

继续阅读

​Veeam 备份服务器现重大漏洞，速更新补丁！

发布于 作者:

​Veeam 备份服务器现重大漏洞，速更新补丁！ 看雪学苑 看雪学苑 2025-03-21 17:59 近期 Veeam Backup & Replication 软件被曝出一项严重的远程代码执行漏洞（CVE-2025-23120），给众多企业和组织的数据安全带来了巨大风险。 据相关报道，该漏洞是由 watchTowr Labs 发现的，主要影响 Veeam Backup & Re

继续阅读

国家互联网信息办公室、公安部联合公布《人脸识别技术应用安全管理办法》；​IBM AIX曝满分高危漏洞，可导致系统完全沦陷 |牛览

发布于 作者:

国家互联网信息办公室、公安部联合公布《人脸识别技术应用安全管理办法》；​IBM AIX曝满分高危漏洞，可导致系统完全沦陷 |牛览 安全牛 2025-03-21 17:36 新闻速览 •国家互联网信息办公室、公安部联合公布《人脸识别技术应用安全管理办法》 •英国NCSC设定2035年为后量子密码迁移最后期限，提出三阶段迁移计划 •警惕新型隐写术恶意软件，利用JPEG文件分发信息窃取程序 •Cisco

继续阅读

PHP XXE 注入漏洞允许攻击者访问配置文件和私钥

发布于 作者:

PHP XXE 注入漏洞允许攻击者访问配置文件和私钥 嘶吼专业版 2025-03-21 11:07 Web 应用程序安全研究员 Aleksandr Zhurnakov 详细揭示了 PHP 中新发现的 XML 外部实体（XXE）注入漏洞。 该漏洞展示了攻击者如何绕过多种安全机制，进而访问敏感配置文件和私钥，凸显了即便在看似安全的实现中，不当的 XML 解析配置也存在巨大风险。 此漏洞利用了 PHP

继续阅读

【高危漏洞预警】ollama 0.1.37 ZipSlip远程代码执行漏洞

发布于 作者:

【高危漏洞预警】ollama 0.1.37 ZipSlip远程代码执行漏洞 cexlife 飓风网络安全 2025-03-20 22:50 漏洞描述: оllаmа/оllаmа版本0.137中存在一个漏洞,允许远程代码执行（RCE）,这是由于在处理ziр文件时输入验证不当造成的,这个漏洞被称为ZiрSliр,发生在ѕеrvеr/mоdеl.ɡо中的раrѕеFrоmZiрFilе函数代码没有检查

继续阅读

更新2节（附课后作业）| 系统0day安全-IOT设备漏洞挖掘（第6期）

发布于 作者:

更新2节（附课后作业）| 系统0day安全-IOT设备漏洞挖掘（第6期） 看雪课程 看雪学苑 2025-03-20 17:59 更新： 第三章 课时8：自动化仿真工具-FAT的介绍与使用 https://www.kanxue.com/book-7-5300.htm 课时9：自动化仿真工具-FirmAE的介绍与使用 https://www.kanxue.com/book-7-5301.htm 自动化

继续阅读

百度对“开盒”事件发布声明，已报案；美国西部联盟银行遭遇第三方供应商零日漏洞攻击，2.2万客户数据遭泄露 | 牛览

发布于 作者:

百度对“开盒”事件发布声明，已报案；美国西部联盟银行遭遇第三方供应商零日漏洞攻击，2.2万客户数据遭泄露 | 牛览 安全牛 2025-03-20 16:59 新闻速览 •目录 百度对“开盒”事件发布声明，已报案 •通过电子商务骗局获利1400万美元，Click Profit 被封禁 •WhatsApp修复被Paragon间谍软件攻击利用的零点击零日漏洞 •Infosys因第三方数据泄露事件达成17

继续阅读

记一次 RCE 0day 的审计过程

发布于 作者:

记一次 RCE 0day 的审计过程 原创 Sukali 信安之路 2025-03-19 09:43 大家好，我是 Sukali ，首次在信安之路上投稿，并获得免费加入信安之路知识星球的机会，同时解锁了信安之路成长平台、文库以及 POC 管理系统的使用权限，今天来为大家分享一下自己挖掘的一个 RCE 0day 的审计过程。 RCE 是远程代码执行或者远程命令执行的缩写，在案例讲解之前，先来聊聊 j

继续阅读

Wazuh RCE漏洞CVE-2025-24016

发布于 作者:

Wazuh RCE漏洞CVE-2025-24016 爱坤 爱坤sec 2025-03-18 22:06 漏洞批量nuclei验证获取地址在文章末尾 漏洞概述 该漏洞允许具有 API 访问权限的远程攻击者（受感染的仪表板、集群中的 Wazuh 服务器或具有受感染代理的某些配置）在服务器上执行任意代码。 受影响的版本 wazuh-manager版本>= 4.4.0 已修复版本>= 4.9.

继续阅读

CSO说安全 | 张天力：智能安全运营体系探索—分布式多智能体在漏洞修复中的应用与实践

发布于 作者:

CSO说安全 | 张天力：智能安全运营体系探索—分布式多智能体在漏洞修复中的应用与实践 原创 张天力 安在 2025-03-18 18:30 由安在新媒体联合中国网络安全审查认证和市场监管大数据中心（CCRC）共同举办的第五届“超级CSO研修班”现已圆满结营。在导师引领和课程启发下，学员们均完成极具代表性的毕业论文，是各自相关领域网络安全建设、实践与思考的精华之作。 本着分享交流之精神，我们特别精

继续阅读

顺景ERP TMScmQuote/GetFile接口存在任意文件读取漏洞 附POC

发布于 作者:

顺景ERP TMScmQuote/GetFile接口存在任意文件读取漏洞 附POC 2025-3-17更新 南风漏洞复现文库 2025-03-17 22:51 免责声明：请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果与文章作者无关。该文章仅供学习用途使用。 1. 顺景ERP 接口简介 微信公

继续阅读

Mirai 恶意软件借 Edimax 相机 RCE 漏洞大肆传播

发布于 作者:

Mirai 恶意软件借 Edimax 相机 RCE 漏洞大肆传播 山卡拉 嘶吼专业版 2025-03-17 14:00 Akamai 安全情报和响应团队（SIRT）近期发布警报，着重指出 Edimax 物联网（IoT）设备中存在严重的命令注入漏洞。该漏洞被编号为 CVE – 2025 – 1316，已被多个僵尸网络频繁利用，用于传播臭名昭著的 Mirai 恶意软件。Mira

继续阅读

SRC漏洞挖掘之文件上传漏洞挖掘实战指南

发布于 作者:

SRC漏洞挖掘之文件上传漏洞挖掘实战指南 原创 炽汐安全屋 炽汐安全屋 2025-03-16 22:09 文件上传漏洞是Web应用程序中常见的安全隐患之一。通过上传恶意文件，攻击者可以实现远程代码执行、获取服务器权限甚至控制整个系统。本文将从文件上传漏洞的原理、分类到实际挖掘步骤进行详细解析，并结合实战案例，为你提供一份全面而实用的指南。一、文件上传漏洞的基本原理文件上传漏洞的本质在于Web应用程

继续阅读

Deep Java Library (DJL) CVE-2025-0851 漏洞复现与深度剖析

发布于 作者:

Deep Java Library (DJL) CVE-2025-0851 漏洞复现与深度剖析 原创 HSCERT 山石网科安全技术研究院 2025-03-16 09:03 Java开发者注意！DJL框架中的一个漏洞可能让你的服务器面临被攻击的风险！ 在当今数字化时代，深度学习框架的安全性至关重要。然而，即使是备受开发者青睐的开源框架也可能隐藏着潜在的安全漏洞。最近，Deep Java Libra

继续阅读

【高危漏洞】【POC公开】Apache Camel 任意命令执行漏洞

发布于 作者:

【高危漏洞】【POC公开】Apache Camel 任意命令执行漏洞 原创 moon 皓月当空w 2025-03-15 17:12 皓月当空，明镜高悬 文末可体验bugSearch系统哦~ 漏洞名称 ： Apache Camel 任意命令执行漏洞 漏洞出现时间 ：2025年3月13日 影响等级 ：高危 漏洞说明： Apache Camel 中近期披露的一个安全漏洞（编号为 CVE –

继续阅读

.NET v2.0 框架不用愁，通过 ysoserial_frmv2 触发反序列化漏洞

发布于 作者:

.NET v2.0 框架不用愁，通过 ysoserial_frmv2 触发反序列化漏洞 原创 专攻.NET安全的 dotNet安全矩阵 2025-03-15 13:02 ViewStateDecoder2  是一个专门用于解析和分析 .NET ViewState 数据的工具，安全研究人员可以利用来查看其中存储的数据结构，检查是否存在用户数据泄露等，本篇文章将深入剖析  ViewStateDecod

继续阅读

Apache ERP开源框架OFBiz高危RCE 漏洞复现分析

发布于 作者:

Apache ERP开源框架OFBiz高危RCE 漏洞复现分析 原创 HSCERT 山石网科安全技术研究院 2025-03-15 09:01 无需身份验证，攻击者就能轻松拿下你的服务器，你必须立刻知道！ 在数字化时代，企业的核心业务系统如同一座座数字化城堡，而开源软件则是这些城堡的基石。然而，当基石出现裂缝时，整个城堡的安全都将受到严重威胁。近期，Apache OFBiz——一款广泛应用于企业资源

继续阅读

SRC漏洞挖掘之SQL注入漏洞挖掘

发布于 作者:

SRC漏洞挖掘之SQL注入漏洞挖掘 原创 炽汐安全屋 炽汐安全屋 2025-03-14 23:43 一、SQL注入漏洞简介 1.1 什么是SQL注入？ SQL注入（SQL Injection）是一种常见的Web应用安全漏洞。攻击者通过构造特殊的输入，注入到Web应用程序的数据库SQL语句中，从而操纵数据库执行恶意操作。 1.2 SQL注入的危害 数据泄露 ：攻击者可以窃取敏感数据，如用户密码、信用

继续阅读

XXE漏洞各种骚姿势

发布于 作者:

XXE漏洞各种骚姿势 迪哥讲事 2025-03-14 17:33 声明：文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由用户承担全部法律及连带责任，文章作者不承担任何法律及连带责任。 ****# 防走失：https://gugesay.com/archives/4086 **不想错过任何消息？设置星标↓ ↓ ↓ 前言 XML 外部实体（XXE）漏洞是现代网

继续阅读

悬镜入选“移动互联网APP产品安全漏洞治理”十大优秀案例

发布于 作者:

悬镜入选“移动互联网APP产品安全漏洞治理”十大优秀案例 原创 Xmirror 悬镜安全 2025-03-14 16:45 开源治理优秀案例颁奖现场 2025年3月13日，由中国软件评测中心、CAPPVD漏洞库联合主办的“第六期移动互联网APP产品安全漏洞技术沙龙”在海口成功召开。悬镜安全基于移动端数字供应链安全开源治理方案荣获中国软件评测中心“2024移动互联网APP产品安全漏洞治理”十大优秀案

继续阅读