标签： 文件上传

安全通告丨网络安全漏洞通告（2024年12月）

发布于 作者:

安全通告丨网络安全漏洞通告（2024年12月） 创信华通 2024-12-18 07:25 作为国内权威的安全漏洞通告组织，创信华通基于自身的威胁情报和漏洞挖掘能力，对全球最新的安全漏洞及安全事件进行跟踪研究，在第一时间向用户提供高危漏洞、威胁攻击的解决办法及情报资讯，以帮助用户提升网络安全的预警和响应能力。 一、 漏洞态势 / 2024.12 高危漏洞预警 在第一时间内向用户发布高危漏洞预警，通

继续阅读

【已复现】Apache Tomcat条件竞争致远程代码执行漏洞（CVE-2024-50379）

发布于 作者:

【已复现】Apache Tomcat条件竞争致远程代码执行漏洞（CVE-2024-50379） 长亭安全应急响应中心 2024-12-18 03:54 Apache Tomcat 是一个开源的 Java Servlet 容器和 Web 服务器，支持运行 Java Servlet、JavaServer Pages (JSP) 和其他基于 Java 的 Web 应用程序，广泛用于开发和部署企业级 We

继续阅读

【最新Struts2高危漏洞】Apache Struts CVE-2024-53677

发布于 作者:

【最新Struts2高危漏洞】Apache Struts CVE-2024-53677 原创 威胁监测 Gaobai文库 2024-12-18 03:18 0x00 漏洞描述 近日，平台监测到Apache Struts框架存在文件上传漏洞（CVE-2024-53677）。该漏洞存在于文件上传逻辑中，若使用了FileUploadInterceptor，攻击者可能通过构造恶意请求，利用目录遍历上传文件

继续阅读

渗透测试——曲折的文件上传漏洞

发布于 作者:

渗透测试——曲折的文件上传漏洞 原创 有恒 有恒安全 2024-12-18 03:04 漏洞挖掘 网站功能点上没有看到有文件上传接口，页面上没有不代表不存在。 打开f12查看网页代码，看到一个文件上传的接口。 拼接构造文件上传数据包，发现没有成功，看起来这个接口不是直接上传文件的。 继续f12查看该页面的代码，发现了上传点，继续构造数据包上传。 上传文件数据包报错，根据报错信息得知缺少path与F

继续阅读

.NET LINQPad 最新反序列化漏洞分析与利用

发布于 作者:

.NET LINQPad 最新反序列化漏洞分析与利用 原创 专攻.NET安全的 dotNet安全矩阵 2024-12-18 00:29 01 阅读须知 此文所提供的信息只为网络安全人员对自己所负责的网站、服务器等（包括但不限于）进行检测或维护参考，未经授权请勿利用文章中的技术资料对任何计算机系统进行入侵操作。利用此文所提供的信息而造成的直接或间接后果和损失，均由使用者本人负责。本文所提供的工具仅用

继续阅读

万能门店小程序管理系统 onepic_uploade 任意文件上传漏洞

发布于 作者:

万能门店小程序管理系统 onepic_uploade 任意文件上传漏洞 Superhero nday POC 2024-12-17 16:30 内容仅用于学习交流自查使用，由于传播、利用本公众号所提供的 POC 信息及 POC对应脚本 而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号nday poc及作者不为此承担任何责任，一旦造成后果请自行承担！如文章有侵权烦请及时告知，我们会立

继续阅读

【安全漏洞】Apache Struts任意文件上传漏洞S2-067【CVE-2024-53677】 POC 已发布

发布于 作者:

【安全漏洞】Apache Struts任意文件上传漏洞S2-067【CVE-2024-53677】 POC 已发布 原创 Eleven Liu 安全有术 2024-12-17 15:15 漏洞概述 Apache Struts是用于创建Java Web应用程序的开源框架，旨在为Java Web开发提供一个灵活、强大且易于扩展的解决方案，应用非常广泛。 Apache发布安全公告修复了Apache St

继续阅读

【更新】Apache Struts2文件上传漏洞

发布于 作者:

【更新】Apache Struts2文件上传漏洞 原创 微步情报局 微步在线研究响应中心 2024-12-17 03:30 漏洞概况 Apache Struts2 是一个开源的 Java Web 应用程序开发框架，旨在帮助开发人员构建灵活、可维护和可扩展的企业级 Web 应用程序。 微步情报局获取到 Apache Struts2 文件上传漏洞情报  CVE-2024-53677 （https://

继续阅读

【漏洞复现】某平台-TUploadImgNoCheck-fileupload任意文件上传漏洞

发布于 作者:

【漏洞复现】某平台-TUploadImgNoCheck-fileupload任意文件上传漏洞 原创 南极熊 SCA御盾 2024-12-17 02:52 关注SCA御盾共筑网络安全 （文末见星球活动） SCA御盾实验室的技术文章仅供参考，此文所提供的信息只为网络安全人员对自己所负责的网站、服务器等（包括但不限于）进行检测或维护参考，未经授权请勿利用文章中的技术资料对任何计算机系统进行入侵操作。利用

继续阅读

利用GitLab漏洞，美国比特币ATM巨头Byte Federal数据泄露

发布于 作者:

利用GitLab漏洞，美国比特币ATM巨头Byte Federal数据泄露 汇能云安全 2024-12-17 01:30 12月17日，星期二，您好！中科汇能与您分享信息安全快讯： 01 利用GitLab漏洞，美国比特币ATM巨头Byte Federal数据泄露 近期，美国最大的比特币ATM运营商Byte Federal披露了数据泄露事件，黑客利用GitLab漏洞入侵系统，泄露了58000名客户数

继续阅读

【神兵利器】飞企互联FE漏洞综合利用工具

发布于 作者:

【神兵利器】飞企互联FE漏洞综合利用工具 M0untainShley 七芒星实验室 2024-12-16 23:00 项目介绍 飞企互联 FE 平台一键漏洞探测工具，支持单 url 以及批量探测 漏洞支持 支持对如下漏洞进行探测 1. uploadAttachmentServlet 任意文件上传漏洞 common_sort_tree.jsp 表达式命令执行&任意文件写入漏洞 validat

继续阅读

电子资料管理系统 ImageUpload.ashx 任意文件上传漏洞

发布于 作者:

电子资料管理系统 ImageUpload.ashx 任意文件上传漏洞 Superhero nday POC 2024-12-16 18:09 内容仅用于学习交流自查使用，由于传播、利用本公众号所提供的 POC 信息及 POC对应脚本 而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号nday poc及作者不为此承担任何责任，一旦造成后果请自行承担！如文章有侵权烦请及时告知，我们会立即

继续阅读

【已复现】Apache Struts 文件上传漏洞(CVE-2024-53677)安全风险通告第二次更新

发布于 作者:

【已复现】Apache Struts 文件上传漏洞(CVE-2024-53677)安全风险通告第二次更新 奇安信 CERT 2024-12-16 16:02 ●  点击↑蓝字关注我们，获取更多安全风险通告 漏洞概述 漏洞名称 Apache Struts 文件上传漏洞 漏洞编号 QVD-2024-50398,CVE-2024-53677 公开时间 2024-12-11 影响量级 十万级 奇安信评级

继续阅读

新的 Cleo 零日 RCE 漏洞被利用于数据盗窃攻击

发布于 作者:

新的 Cleo 零日 RCE 漏洞被利用于数据盗窃攻击 Rhinoer 犀牛安全 2024-12-16 16:00 黑客正在积极利用 Cleo 管理文件传输软件中的零日漏洞来入侵公司网络并进行数据盗窃攻击。 该漏洞存在于该公司的安全文件传输产品 Cleo LexiCom、VLTrader 和 Harmony 中，该漏洞允许不受限制的文件上传和下载，从而导致远程代码执行。 Cleo MFT 漏洞影响

继续阅读

安全热点周报：新的 Cleo 零日 RCE 漏洞被利用于数据盗窃攻击

发布于 作者:

安全热点周报：新的 Cleo 零日 RCE 漏洞被利用于数据盗窃攻击 奇安信 CERT 2024-12-16 09:20 安全资讯导视  • 国家发改委公布《电力监控系统安全防护规定》修订版 • 美商务部发布ICTS最终规则，确保信息与通信技术和服务供应链安全 • 国内最大IT社区CSDN被挂马，CDN可能是罪魁祸首 PART01 漏洞情报 1.Apache Struts文件上传漏洞安全风险通告

继续阅读

Exp-Tools:一款集成高危漏洞EXP的实用工具

发布于 作者:

Exp-Tools:一款集成高危漏洞EXP的实用工具 海底天上月 海底生残月 2024-12-16 07:51 声明：请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，海底生残月及文章作者不为此承担任何责任。 现在只对常读和星标的公众号才展示大图推送，建议大家能把 海底生残月 “ 设为星标 ”， 否则可能就看不到了啦 ！

继续阅读

XXE 漏洞检测工具

发布于 作者:

XXE 漏洞检测工具 黑白之道 2024-12-16 02:07 01 工具介绍 这是一个 XXE 漏洞检测工具，支持 DoS 检测（DoS 检测默认开启）和 DNSLOG 两种检测方式，能对普通 xml 请求和 xlsx 文件上传进行 XXE 漏洞检测。 02 使用说明 03 工具下载 *https://github.com/Weijin-wj/XXECheck* 文章来源：夜组安全 黑白之道发

继续阅读

Clop 勒索软件组织对利用Cleo 0day窃取数据负责

发布于 作者:

Clop 勒索软件组织对利用Cleo 0day窃取数据负责 会杀毒的单反狗 军哥网络安全读报 2024-12-16 01:00 导读 Clop 勒索软件团伙向 BleepingComputer 证实，他们是最近 Cleo 数据盗窃攻击的幕后黑手，利用零日漏洞侵入公司网络并窃取数据。 Cleo 是托管文件传输平台 Cleo Harmony、VLTrader 和 LexiCom 的开发商，公司使用这些

继续阅读

【0day】《黄药师》药业管理软件UploadFile存在任意文件上传漏洞

发布于 作者:

【0day】《黄药师》药业管理软件UploadFile存在任意文件上传漏洞 原创 xiachuchunmo 银遁安全团队 2024-12-15 22:00 需要EDU SRC邀请码的师傅可以私聊后台，免费赠送EDU SRC邀请码（邀请码管够） 漏洞简介 **黄药师药店管理是专为零售药店打造的管理软件，集综合进销存管理，会员管理，GSP管理等于一身，其直观的界面，简洁的操作，去繁存精，更易使用，助您

继续阅读

浅析渗透实战中url跳转漏洞

发布于 作者:

浅析渗透实战中url跳转漏洞 船山信安 2024-12-15 17:00 前言 最近在一些厂商项目中开始接触到一些url任意重定向，虽然是低危，奖金较低，（虽然国外已经是几百$）但是一旦找到突破点，几乎整个站的url跳转都可以bypass，一个厂商所有点的url跳转加起来奖金也比较可观，所以将自己挖掘过程中一点点心得分享一下。 简介 先走个流程说些废话，url重定向漏洞也称url任意跳转漏洞，网站

继续阅读

实战 | 记一次双排渗透测试漏洞复盘

发布于 作者:

实战 | 记一次双排渗透测试漏洞复盘 原创 Abin/zuohua 神农Sec 2024-12-15 01:00 扫码加圈子 获内部资料 网络安全领域各种资源，学习文档，以及工具分享、前沿信息分享、POC、EXP分享。 不定期分享各种好玩的项目及好用的工具，欢迎关注。 0x1 前言 某天晚上和源哥进行技术交流，期间一起合作对一个站点进行测试，主要就是测试一下能不能出点货。就有了下面的双排渗透测试哈

继续阅读

知名企业级文件传输产品存在漏洞，正在被黑客利用

发布于 作者:

知名企业级文件传输产品存在漏洞，正在被黑客利用 Alpha_h4ck FreeBuf 2024-12-14 02:04 网络安全公司 Huntress 在周一警告称，影响企业软件制造商 Cleo 多个文件传输产品的漏洞未正确修补，并在过去至少一周内被利用。Cleo 是一家总部位于伊利诺伊州的公司，为超过 4200 家组织提供供应链和 B2B 集成解决方案。 该漏洞影响 Cleo 的LexiCom

继续阅读