标签： 命令执行

关键的 SimpleHelp 缺陷允许文件盗窃、权限提升和 RCE 攻击

发布于 作者:

关键的 SimpleHelp 缺陷允许文件盗窃、权限提升和 RCE 攻击 信息安全大事件 2025-01-15 19:50 网络安全研究人员披露了 SimpleHelp 远程访问软件中的多个安全漏洞，这些漏洞可能导致信息泄露、权限提升和远程代码执行。 Horizon3.ai 研究员 Naveen Sunkavally 在一份详细介绍调查结果 的技术报告中 表示，“这些漏洞很容易逆转和利用。 已识别

继续阅读

文件包含漏洞从入门到精通

发布于 作者:

文件包含漏洞从入门到精通 船山信安 2025-01-15 17:00 文件包含漏洞 一、什么是文件包含漏洞 漏洞成因： 为了提高代码的复用性和模块化，开发人员通常会将可重复使用的函数或代码段写入到单个文件中。在需要使用这些函数或代码段时，直接调用此文件，而无需再次编写。这种调用文件的过程被称为“包含”。 开发人员没有对用户输入的参数进行正确的过滤和检查，导致攻击者可以在包含文件时控制参数的值，从而

继续阅读

API漏洞挖掘神器API_kit的二开版本|Burp Suite 插件

发布于 作者:

API漏洞挖掘神器API_kit的二开版本|Burp Suite 插件 漏洞挖掘 渗透安全HackTwo 2025-01-15 16:01 0x01 工具介绍  APIKit二开版本是基于Burp Suite的API接口扫描插件，改进自APIKit1.0。新增扫描开关以防止无意扫描，优化页面性能，增强界面交互体验。该插件可主动/被动扫描API泄露文档并生成请求包用于安全测试，支持自定义扫描与自动发

继续阅读

Chrome 132 发布，修复了 16 个漏洞，包括远程代码执行

发布于 作者:

Chrome 132 发布，修复了 16 个漏洞，包括远程代码执行 网安百色 2025-01-15 11:43 点击上方 蓝字 关注我们吧~ Google 已正式将 Chrome 132 发布到稳定频道，为 Windows、macOS 和 Linux 用户带来重要的安全更新和功能增强。 该更新版本为 132.0.6834.83/84，将在未来几天和几周内逐步推出。此版本解决了 16 个安全漏洞，其

继续阅读

Fortinet：注意这个认证绕过0day漏洞可用于劫持防火墙

发布于 作者:

Fortinet：注意这个认证绕过0day漏洞可用于劫持防火墙 Sergiu Gatlan 代码卫士 2025-01-15 10:02 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 攻击者正在利用位于 FortiOS和FortiProxy 中的一个认证绕过0day漏洞，劫持Fortinet 防火墙并攻陷企业网络。 该漏洞的编号是CVE-2024-55591，影响 FortiOS 7.0.0

继续阅读

2025-01微软漏洞通告

发布于 作者:

2025-01微软漏洞通告 火绒安全 火绒安全 2025-01-15 10:00 微软官方发布了 2025年01月的安全更新。本月更新公布了210个漏洞，包含 58个远程执行代码漏洞、40个特权提升漏洞、24个信息泄露漏洞、20个拒绝服务漏洞、14个安全功能绕过漏洞、5个身份假冒漏洞，其中12个漏洞级别为“Critical”（高危），149个为“Important”（严重）。建议用户及时使用火绒安

继续阅读

2025年1月微软补丁日多个高危漏洞安全风险通告

发布于 作者:

2025年1月微软补丁日多个高危漏洞安全风险通告 嘉诚安全 2025-01-15 08:58 漏洞背景 近日，嘉诚安全监测到Microsoft官方发布了1月份的安全更新公告，共修复了159个漏洞，修复了Windows远程桌面服务、Windows Hyper-V、Windows OLE等产品中的漏洞。 鉴于漏洞危害较大，嘉诚安全提醒广大Microsoft用户尽快下载补丁更新，避免引发漏洞相关的网络安

继续阅读

【漏洞通告】微软1月多个安全漏洞

发布于 作者:

【漏洞通告】微软1月多个安全漏洞 启明星辰安全简讯 2025-01-15 07:48 一、漏洞概述 202 5 年 1 月 1 5 日，启明星辰集团 VSRC监测到微软发布了 1 月安全更新，本次更新共修复了 159 个漏洞， 漏洞类型包括 权限 提升漏洞、远程代码执行漏洞、信息泄露漏洞、拒绝服务漏洞和欺骗漏洞等 ， 漏洞级别包括 3个严重级别漏洞，97个高危级别漏洞，58个中危级别漏洞，1个低危

继续阅读

微软2025年1月份于周二补丁日针对161漏洞发布安全补丁

发布于 作者:

微软2025年1月份于周二补丁日针对161漏洞发布安全补丁 何威风 祺印说信安 2025-01-15 06:36 微软在 2025 年初发布了一系列新补丁，修复了其软件产品组合中的 161 个安全漏洞 ，其中包括三个在攻击中被积极利用的零日漏洞。 在 161 个漏洞中，11 个被评为严重，149 个被评为重要。另一个漏洞是与 Windows 安全启动绕过 (CVE-2024-7344) 相关的非

继续阅读

Jeecg存在JNDI代码执行漏洞

发布于 作者:

Jeecg存在JNDI代码执行漏洞 原创 Hacker 0xh4ck3r 2025-01-15 06:15 Jeecg存在JNDI代码执行漏洞 Jeecg (J2EE C ode G eneration)是一款基于代码生成器的低代码开发平台, 使用 JEECG 可以简单快速地开发出企业级的 Web 应用系统。目前官方已停 止维护。 JEECG 4.0 及之前版本中，由于 /api 接口鉴权时未过滤

继续阅读

入选作品公布｜安钥®「漏洞处置标准作业程序（SOP）」征文第十八期

发布于 作者:

入选作品公布｜安钥®「漏洞处置标准作业程序（SOP）」征文第十八期 原创 安钥 方桥安全漏洞防治中心 2025-01-15 04:00 2024年12月25日发布的 第十八期 · 安钥®「漏洞处置标准作业程序（SOP）」征文启示 活动现已结束。经过初评和复审，本次共有 1 篇 SOP 入选。 入选SOP作品 结构清晰、内容翔实、实用性强，有较高的借鉴意义，体现了作者在漏洞处置实践工作中的专业积累。

继续阅读

腾讯云安全中心推出2024年12月必修安全漏洞清单

发布于 作者:

腾讯云安全中心推出2024年12月必修安全漏洞清单 原创 腾讯云安全中心 安全攻防团队 2025-01-15 02:02 所谓必修漏洞，就是运维人员必须修复、不可拖延、影响范围较广的漏洞，被黑客利用并发生入侵事件后，会造成十分严重的后果。 腾讯云安全中心参考“安全漏洞的危害及影响力、漏洞技术细节披露情况、该漏洞在安全技术社区的讨论热度”等因素，综合评估该漏洞在攻防实战场景的风险。当漏洞综合评估为风

继续阅读

Java综合漏洞平台

发布于 作者:

Java综合漏洞平台 原创 白帽学子 白帽学子 2025-01-15 00:03 在我们平时的网络安全工作中，经常会面对各种各样的挑战。比如，进行定期的漏洞扫描、代码审计，甚至是参与红蓝对抗演练时，发现漏洞后往往需要及时将其修复。 最近，我接触到了一款开源的网络安全工具——JavaSecLab。在我了解它的功能后，觉得这不仅能满足我们的需求，还能让安全团队和研发团队更加紧密地合作。 JavaSec

继续阅读

网络渗透“大杀器”：Cobalt Strike实操全揭秘

发布于 作者:

网络渗透“大杀器”：Cobalt Strike实操全揭秘 原创 sky 泷羽Sec-sky 2025-01-14 16:32 免责声明： 该文章所涉及到的安全工具和技术仅做分享和技术交流学习使用，使用时应当遵守国家法律，做一位合格的白帽专家。 使用本工具的用户需要自行承担任何风险和不确定因素，如有人利用工具做任何后果均由使用者承担，本人及文章作者还有泷羽sec团队不承担任何责任 如本文章侵权，请联

继续阅读

信息安全漏洞周报（2025年第2期）

发布于 作者:

信息安全漏洞周报（2025年第2期） 原创 CNNVD CNNVD安全动态 2025-01-14 11:28 点击蓝字 关注我们 漏洞情况**** 根据国家信息安全漏洞库（CNNVD）统计，本周（2025年1月6日至2025年1月12日）安全漏洞情况如下： 公开漏洞情况 本周CNNVD采集安全漏洞1045个。 接报漏洞情况 本周CNNVD接报漏洞10936个，其中信息技术产品漏洞（通用型漏洞）28

继续阅读

【安全圈】2025年首个满分漏洞，PoC已公布，可部署后门

发布于 作者:

【安全圈】2025年首个满分漏洞，PoC已公布，可部署后门 安全圈 2025-01-14 11:00 关键词 安全漏洞 云攻击者正在大肆利用名为Max – Critical Aviatrix RCE漏洞（编号CVE – 2024 – 50603），此漏洞在CVSS评分中高达10分（满分10分），能够在受影响系统上执行未经身份验证的远程代码，网络犯罪分子借此漏洞植

继续阅读

2025年首个满分漏洞：云攻击者利用Aviatrix Controller漏洞植入恶意软件

发布于 作者:

2025年首个满分漏洞：云攻击者利用Aviatrix Controller漏洞植入恶意软件 看雪学苑 看雪学苑 2025-01-14 10:00 2025年1月14日，网络安全研究人员发现，云攻击者正在利用一个名为Max-Critical Aviatrix RCE的漏洞（编号CVE-2024-50603），该漏洞在CVSS评分中高达10分（满分10分），能够在受影响系统上执行未经身份验证的远程代码

继续阅读

VulScanner：一款专业的红队漏洞检测工具

发布于 作者:

VulScanner：一款专业的红队漏洞检测工具 泷羽Sec-醉陌离 2025-01-14 10:00 VulScanner 一款适合在渗透测试中随时记录和保存的漏洞检测工具 项目地址：https://github.com/cn-xwhat/VulScanner 文末有详细配置教程 一、 主要模块 主要功能模块 任务管理 ： 支持扫描任务、FOFA 采集、IP 段采集。 任务进度实时可视化，便于跟

继续阅读

使用自动化工具寻找sql注入漏洞

发布于 作者:

使用自动化工具寻找sql注入漏洞 马哥网络安全 2025-01-14 09:00 对某开源cms进行代码审计 ，发现虽然该cms虽然对参数参数进行了过滤，但是过滤有限，依然可以通过其他方法绕过进行sql注入，本文将将通过正则匹配的方式，并通过自动化查找工具，寻找某cms中存在的sql注入漏洞 对某开源cms进行代码审计 ，发现虽然该cms虽然对参数参数进行了过滤，但是过滤有限，依然可以通过其他方法

继续阅读

无独有偶，通过.NET反序列化漏洞实现 Visual Studio 钓鱼攻击

发布于 作者:

无独有偶，通过.NET反序列化漏洞实现 Visual Studio 钓鱼攻击 原创 专攻.NET安全的 dotNet安全矩阵 2025-01-14 00:39 近期，网络安全从业人员间流传着一个引起广泛关注的事件：某提权工具被植入后门，导致工具使用者的身份信息和敏感数据遭到泄露。根据现有的信息，初步判断此次攻击背后可能是东南亚某APT组织——海莲花（Lotus Blossom）所为。 Visual

继续阅读

识别漏洞成了大海捞针？

发布于 作者:

识别漏洞成了大海捞针？ 原创 做安全的小明同学 大山子雪人 2025-01-13 11:04 2025.1月份的android公告，最大的变化就是少了漏洞对应patch的链接 没有了patch，就没法分析漏洞的成因，也就无从学起。也不知道漏洞什么时候修复的，什么时候commit到aosp的。头大，简直大海捞针。 由于不知道时间范围，只能挨个commit爬了 commit收集入口： https://

继续阅读

GFI KerioControl 防火墙存在严重的RCE漏洞

发布于 作者:

GFI KerioControl 防火墙存在严重的RCE漏洞 THN 代码卫士 2025-01-13 10:28 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 威胁行动者们正在利用最近披露的 GFI KerioControl 防火墙中的一个漏洞 (CVE-2024-52875)，如成功利用则可实现远程代码执行 (RCE)。 该漏洞是指回车换行（CRFL）攻击，可为HTTP响应截断攻击做铺垫

继续阅读

每周网安资讯 （1.7-1.13）|Adobe多款产品存在越界读取漏洞

发布于 作者:

每周网安资讯 （1.7-1.13）|Adobe多款产品存在越界读取漏洞 交大捷普 2025-01-13 10:14 2024[ 每周网安资讯 ]1.7-1.13 网安资讯 1、我国牵头提出的国际标准《信息技术 信息安全事件管理 第4部分：协同》正式发布 近日，我国牵头提出的国际标准ISO/IEC 27035-4:2024《信息技术 信息安全事件管理 第4部分：协同》（Information tec

继续阅读

雷神众测漏洞周报2025.1.6-2025.1.12

发布于 作者:

雷神众测漏洞周报2025.1.6-2025.1.12 原创 雷神众测 雷神众测 2025-01-13 09:12 摘要 以下内容，均摘自于互联网，由于传播，利用此文所提供的信息而造成的任何直接或间接的后果和损失，均由使用者本人负责，雷神众测以及文章作者不承担任何责任。雷神众测拥有该文章的修改和解释权。如欲转载或传播此文章，必须保证此文章的副本，包括版权声明等全部内容。声明雷神众测允许，不得任意修改

继续阅读

Lua项目下SSRF利用Redis文件覆盖lua回显RCE

发布于 作者:

Lua项目下SSRF利用Redis文件覆盖lua回显RCE 1315609050541697 神农Sec 2025-01-13 09:00 扫码加圈子 获内部资料 网络安全领域各种资源，学习文档，以及工具分享、前沿信息分享、POC、EXP分享。 不定期分享各种好玩的项目及好用的工具，欢迎关注。 原文链接：https://xz.aliyun.com/t/17034 作者：13156090505416

继续阅读

2024年度智能网联汽车重点安全漏洞盘点

发布于 作者:

2024年度智能网联汽车重点安全漏洞盘点 原创 车联网安全实验室 山石网科安全技术研究院 2025-01-13 07:02 01 Telsa TMPS(胎压监测系统)远程命令执行漏洞 事件概述 在2024年Pwn2Own黑客大赛上，Synacktiv的网络安全研究人员David Berard和Thomas Imbert发现了特斯拉Model 3中的一个关键漏洞。该漏洞位于胎压监测系统（TPMS），

继续阅读