标签： 文件上传

雷神众测漏洞周报2022.11.28-2022.12.4

发布于 作者:

雷神众测漏洞周报2022.11.28-2022.12.4 原创 雷神众测 雷神众测 2022-12-05 15:00 以下内容，均摘自于互联网，由于传播，利用此文所提供的信息而造成的任何直接或间接的后果和损失，均由使用者本人负责，雷神众测以及文章作者不承担任何责任。雷神众测拥有该文章的修改和解释权。如欲转载或传播此文章，必须保证此文章的副本，包括版权声明等全部内容。声明雷神众测允许，不得任意修改或

继续阅读

CISA警告3个工控软件系统存在严重漏洞

发布于 作者:

CISA警告3个工控软件系统存在严重漏洞 关键基础设施安全应急响应中心 2022-11-07 15:37 近日，美国网络安全和基础设施安全局（CISA）发布了三份工业控制系统（ICS）公告，涉及ETIC电信、诺基亚和Delta工业自动化的软件中的多个漏洞。其中最突出的是影响ETIC电信公司远程访问服务器（RAS）的一组三个缺陷，它 “可能允许攻击者获得敏感信息，并控制有漏洞的设备和其他

继续阅读

悟空crm漏洞新用

发布于 作者:

悟空crm漏洞新用 原创 mazihan Tide安全团队 2022-09-28 17:03 概述 悟空软件长期为企业提供企业管理软件(CRM/HRM/OA/ERP等)的研发、实施、营销、咨询、培训、服务于一体的信息化服务。悟空软件以高科技为起点，以技术为核心、以完善的售后服务为后盾，秉承稳固与发展、求实与创新的精神，已为国内外上千家企业提供服务。 听说很厉害，搜索了下存在的旧版本漏洞，看看是否还

继续阅读

CISA提醒修复Zoho ManageEngine RCE漏洞

发布于 作者:

CISA提醒修复Zoho ManageEngine RCE漏洞 Ionut Arghire 代码卫士 2022-09-27 18:39 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 摘要 本周四，美国网络安全和基础设施安全局 (CISA) 提醒称，网络攻击活动正在利用最近修复的一个Zoho ManageEngine 漏洞 (CVE-2022-35405)。 Zoho 公司在2014年收购企

继续阅读

【技术干货】CVE-2022-22978 Spring-security 认证绕过漏洞分析和漏洞挖掘思考

发布于 作者:

【技术干货】CVE-2022-22978 Spring-security 认证绕过漏洞分析和漏洞挖掘思考 星阑科技 2022-09-13 13:26 xxhzz @PortalLab实验室 前言 在此之前，已经对CVE-2022-32532  Apache Shiro RegExPatternMatcher 认证绕过漏洞进行了分析，它和CVE-2022-22978漏洞产生原理上，本质是一样的。在分

继续阅读

雷神众测漏洞周报2022.08.29-2022.09.04-4

发布于 作者:

雷神众测漏洞周报2022.08.29-2022.09.04-4 原创 雷神众测 雷神众测 2022-09-05 15:07 声明 以下内容，均摘自于互联网，由于传播，利用此文所提供的信息而造成的任何直接或间接的后果和损失，均由使用者本人负责，雷神众测以及文章作者不承担任何责任。雷神众测拥有该文章的修改和解释权。如欲转载或传播此文章，必须保证此文章的副本，包括版权声明等全部内容。声明雷神众测允许，不

继续阅读

KCon 2022议题分享：自动化API漏洞挖掘

发布于 作者:

KCon 2022议题分享：自动化API漏洞挖掘 星阑科技 2022-09-02 11:47 演讲者介绍 周阳 星阑科技安全研发工程师。具有丰富的漏洞研究及红队武器化经验，历经主机漏洞扫描、应用漏洞扫描、开源软件供应链安全跟踪以及漏洞情报管理平台等多款产品建设，曾参与发现多个linux系统安全漏洞并收到工信部及其他部委致谢。目前专注于API安全研究以及自动化应用漏洞扫描方向。 吕竭 星阑科技安全服

继续阅读

关于畅捷通T+软件存在任意文件上传漏洞的安全公告

发布于 作者:

关于畅捷通T+软件存在任意文件上传漏洞的安全公告 原创 CNVD CNVD漏洞平台 2022-08-30 22:30 2022年8月30日，国家信息安全漏洞共享平台（CNVD）收录了畅捷通T+软件任意文件上传漏洞（CNVD-2022-60632）。未经身份认证的攻击者可利用漏洞远程上传任意文件，获取服务器控制权限。目前，已出现用户被不法分子利用该漏洞进行勒索病毒攻击的情况，厂商已发布安全更新完成修

继续阅读

漏洞风险提示 | 畅捷通T+远程代码执行漏洞

发布于 作者:

漏洞风险提示 | 畅捷通T+远程代码执行漏洞 长亭安全应急响应中心 2022-08-30 13:44 长亭漏洞风险提示        畅捷通T+远程代码执行漏洞 畅捷通T+是一款互联网管理软件，主要针对中小型工贸和商贸企业的财务业务一体化应用，融入了社交化、移动化、物联网、电子商务、互联网信息订阅等元素。适用于异地多组织、多机构对企业财务汇总的管理需求；全面支持企业对远程仓库、异地办事处的管理需求

继续阅读

Android APP 漏洞之战——WebView 漏洞详解

发布于 作者:

Android APP 漏洞之战——WebView 漏洞详解 随风而行aa 看雪学苑 2022-08-15 17:59 本文为看雪论坛精华文章 看雪论坛作者ID：随风而行aa 今天我们进入Android APP漏洞之战系列文章中的一个重要篇幅——WebView漏洞，我们都知道在当下App漏洞中，WebView漏洞的占比是十分巨大的，各种类型的漏洞问题层出不穷，这篇文章就带着大家一起揭开WebVie

继续阅读

上周关注度较高的产品安全漏洞(20220801-20220807)

发布于 作者:

上周关注度较高的产品安全漏洞(20220801-20220807) 国家互联网应急中心CNCERT 2022-08-09 17:24 一、境外厂商产品漏洞 1、 Pexip Infinity输入验证错误漏洞（CNVD-2022-54746） Pexip Infinity （派视普视频会议云协作平台）是挪威派世（ Pexip ）公司的一款视频会议云协作平台。该产品可提供高质量安全的云会议功能。 Pe

继续阅读

Android漏洞之战——整体加壳原理和脱壳技巧详解

发布于 作者:

Android漏洞之战——整体加壳原理和脱壳技巧详解 随风而行aa 看雪学苑 2022-07-09 17:58 本文为看雪论坛优秀文章看雪论坛作者ID：随风而行aa 一 前言 为了帮助更加方便的进行漏洞挖掘工作，前面我们通过了几篇文章详解的给大家介绍了动态调试技术、过反调试技术、Hook技术、过反Hook技术、抓包技术等，掌握了这些可以很方便的开展App漏洞挖掘工作，而最后我们还需要掌握一定的脱壳

继续阅读

【技术分享】关于Bludit远程任意代码执行漏洞的复现、利用及详细分析

发布于 作者:

【技术分享】关于Bludit远程任意代码执行漏洞的复现、利用及详细分析 原创 neroqi 安全客 2022-06-22 16:50 1 前言 Bludit是一款多语言轻量级的网站CMS系统，它能够让你简单快速的建立一个博客或者是网站。CVE-2019-16113曝出在Bludit<=3.9.2的版本中，攻击者可以通过定制uuid值将文件上传到指定的路径，然后通过bl-kernel/ajax

继续阅读

雷神众测漏洞周报2022.06.06-2022.06.12-4

发布于 作者:

雷神众测漏洞周报2022.06.06-2022.06.12-4 雷神众测 雷神众测 2022-06-13 15:30 声明 以下内容，均摘自于互联网，由于传播，利用此文所提供的信息而造成的任何直接或间接的后果和损失，均由使用者本人负责，雷神众测以及文章作者不承担任何责任。雷神众测拥有该文章的修改和解释权。如欲转载或传播此文章，必须保证此文章的副本，包括版权声明等全部内容。声明雷神众测允许，不得任意

继续阅读

Formidable 项目开发人员驳斥：MITRE 发的这个CVE漏洞纯属“碰瓷”

发布于 作者:

Formidable 项目开发人员驳斥：MITRE 发的这个CVE漏洞纯属“碰瓷” Charlie Osborne 代码卫士 2022-06-10 17:30 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 Formidable 项目的开发人员就 Mitre 公司分配的一个CVE漏洞提出反对。 Formidable 是一款热门解析器，可从GitHub 下载，用于生产和无服务器环境中。其中No

继续阅读

浅析LuCI系统的漏洞挖掘

发布于 作者:

浅析LuCI系统的漏洞挖掘 原创 信创实验室 山石网科安全技术研究院 2022-06-10 16:39 01 摘要 Luci 系统 是基于lua 语言编写的一套开源系统，主要是介绍对其审计的一些技巧，先从准备阶段谈谈工具的使用，再讲一下从代码审计中的一些思路，希望能读完这篇文章的读 者能有所收获。 02 准备阶段 除非黑盒测试，代码审计是漏洞挖掘必不可少的过程，这个代码不仅限于我们下面要讲到的 l

继续阅读

【技术干货】2022-29464 WSO2 API Manager 任意文件上传、远程代码执行漏洞

发布于 作者:

【技术干货】2022-29464 WSO2 API Manager 任意文件上传、远程代码执行漏洞 星阑科技 2022-06-10 11:43 arp @PortalLab实验室 漏洞描述 某些WSO2产品允许不受限制地上传文件，从而执行远程代码。以WSO2 API Manager 为例，它是一个完全开源的 API 管理平台。它支持API设计，API发布，生命周期管理，应用程序开发，API安全性，

继续阅读

SmartPTT、SmartICS 工业产品存在多个严重漏洞，影响全球90国

发布于 作者:

SmartPTT、SmartICS 工业产品存在多个严重漏洞，影响全球90国 Eduard Kovacs 代码卫士 2022-04-25 18:15 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 安全研究员 Michael Heinzl在俄罗斯专业无线通信和工业自动化公司 Elcomplus 生产的工业产品中发现了多个漏洞，其中一些是严重和高危级别。 Heinzl 在 Elcomplus

继续阅读