nuclei-快速漏洞扫描器【安装&使用详解】
nuclei-快速漏洞扫描器【安装&使用详解】 原创 大象只为你 大象只为你 2024-08-06 22:40 ★★ 免责声明★★ 文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与学习之用，读者将信息做其他用途，由Ta承担全部法律及连带责任，文章作者不承担任何法律及连带责任。 1、nuclei介绍 Nuclei是一款基于YAML语法模板的开发的定制化快速漏洞扫描器。它使用Go语言开发
继续阅读标签： 漏洞
防护验证通告|Apache OFBiz 未授权访问致代码执行漏洞(CVE-2024-38856)
防护验证通告|Apache OFBiz 未授权访问致代码执行漏洞(CVE-2024-38856) 原创 知其安安全研究院 知其安科技 2024-08-06 22:02 0x1 描述 Apache OFBiz是由Apache软件基金会维护的顶级项目。它是一个100%开源的企业资源管理（ERP）解决方案，基于最新的J2EE/XML规范和技术标准，适用于大中型企业级、跨平台、跨数据库、跨应用服务器的多
继续阅读Apache OFBiz ERP 中的新零日漏洞允许远程代码执行
Apache OFBiz ERP 中的新零日漏洞允许远程代码执行 信息安全大事件 2024-08-06 20:58 Apache OFBiz 开源企业资源规划 （ERP） 系统中披露了一个新的零日预认证远程代码执行漏洞，该漏洞可能允许威胁行为者在受影响的实例上实现远程代码执行。 该漏洞被跟踪为 CVE-2024-38856，CVSS 评分为 9.8 分（满分 10.0 分）。它会影响 18.12.
继续阅读【漏洞预警】Roundcube Webmail跨站脚本漏洞（CVE-2024-42009、CVE-2024-42008）
【漏洞预警】Roundcube Webmail跨站脚本漏洞（CVE-2024-42009、CVE-2024-42008） 原创 聚焦网络安全情报 安全聚 2024-08-06 20:13 预警公告 严重 近日，安全聚实验室监测到 Roundcube Webmail 中存在多个跨站脚本漏洞，编号为：CVE-2024-42009、CVE-2024-42008， 这些漏洞当受害者在Roundcube中查
继续阅读探索AI聊天机器人工作流程实现RCE
探索AI聊天机器人工作流程实现RCE 原创 玲珑安全官方 芳华绝代安全团队 2024-08-06 19:31 前言 我发现了一个广泛使用的AI聊天机器人平台中的远程代码执行漏洞。该漏洞存在于聊天机器人的自定义工作流响应代码中，这些工作流允许开发人员通过创建定制的流程来扩展机器人的功能。 正文 在浏览自动化聊天机器人的多个特定功能时，其中一个引起我注意的功能是“Start from scratch”
继续阅读【8/6特辑】今日热点漏洞请查收
【8/6特辑】今日热点漏洞请查收 安恒研究院 安恒信息CERT 2024-08-06 19:03 漏洞导览 · 用友U8 Cloud存在任意文件读取及删除漏洞 · PEMP系统存在命令执行漏洞 · 申瓯在线录音管理系统存在任意文件下载漏洞 漏洞概况 在当前网络攻防演练中， 安恒信息 CERT正紧密关注近期曝光的安全漏洞，持续进行监测和深入梳理。我们将对监测到的每一个漏洞进行深入分析和评估，为蓝队（
继续阅读连续11年亮相BlackHat大会，360发布重磅漏洞研究成果
连续11年亮相BlackHat大会，360发布重磅漏洞研究成果 360数字安全 2024-08-06 18:35 近日，Black Hat USA 2024在拉斯维加斯重磅拉开帷幕。作为安全行业的知名大会，Black Hat USA每年都会向外界持续输送出最新的安全研究成果、创新技术等前沿资讯，是展现全球安全发展风向的最好窗口，被公认为“黑客界的奥斯卡”。 自2014年起，360已连续十一年登上B
继续阅读谷歌修复已遭利用的安卓内核0day漏洞
谷歌修复已遭利用的安卓内核0day漏洞 Sergiu Gatlan 代码卫士 2024-08-06 18:28 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 本月安卓共修复46个漏洞，包括被用于目标攻击中的一个高危远程代码执行 (RCE) 漏洞。 在这些漏洞中，其中一个是 0day 漏洞CVE-2024-36971，它是位于 Linux 内核网络路由管理中的一个释放后使用漏洞。攻击者需要系
继续阅读演讲议题巡展 | 新视角关注Windows漏洞挖掘-从USB设备到操作系统内核
演讲议题巡展 | 新视角关注Windows漏洞挖掘-从USB设备到操作系统内核 KCon 黑客大会 2024-08-06 15:40 经过精心筹备与多方努力 KCon 2024 黑客大会敲定举办时间 将于8月24日-25日举办 本次大会涵盖了网安领域的不同热点话题 为了展示演讲议题风采 让大家了解更多大会情况 特此开展议题巡展 欢迎围观~ 演讲者： B1aN 来自360漏洞研究院。 议题介绍： 新
继续阅读Roundcube Webmail 多个XSS高危漏洞安全风险通告
Roundcube Webmail 多个XSS高危漏洞安全风险通告 奇安信 CERT 2024-08-06 14:15 ● 点击↑蓝字关注我们，获取更多安全风险通告 漏洞概述 漏洞名称 Roundcube Webmail 多个XSS高危漏洞 漏洞编号 CVE-2024-42008、CVE-2024-42009 公开时间 2024-08-04 影响量级 十万级 奇安信评级 高危 CVSS 3.1分
继续阅读上周关注度较高的产品安全漏洞(20240729-20240804)
上周关注度较高的产品安全漏洞(20240729-20240804) 国家互联网应急中心CNCERT 2024-08-06 14:11 一、境外厂商产品漏洞 1、Microsoft Outlook远程代码执行漏洞（CNVD-2024-34111）**** Microsoft Outlook是美国微软（Microsoft）公司的一套电子邮件应用程序。Microsoft Outlook存在远程代码执行漏
继续阅读【已复现】Apache OFBiz 授权不当致代码执行漏洞(CVE-2024-38856)安全风险通告
【已复现】Apache OFBiz 授权不当致代码执行漏洞(CVE-2024-38856)安全风险通告 代码卫士 2024-08-05 18:23 ● 点击↑蓝字关注我们，获取更多安全风险通告 漏洞概述 漏洞名称 Apache OFBiz 授权不当致代码执行漏洞 漏洞编号 QVD-2024-35284,CVE-2024-38856 公开时间 2024-08-04 影响量级 万级 奇安信评级 高危
继续阅读XML 基础知识 && XXE 漏洞原理解析及实验
XML 基础知识 && XXE 漏洞原理解析及实验 编码安全研究 2024-08-05 17:07 XML 介绍 XXE全称XML外部实体注入，所以在介绍XXE漏洞之前，先来说一说什么是XML以及为什么使用XML进而再介绍一下XML的结构。 XML全称 可拓展标记语言，与HTML相互配合后： – HMTL用来显示数据 HTML的焦点在于数据的外观（如何显示数据） XML
继续阅读安全热点周报：本周新增四个在野利用漏洞，企业安全面临新威胁
安全热点周报：本周新增四个在野利用漏洞，企业安全面临新威胁 奇安信 CERT 2024-08-05 16:25 安全资讯导视 • 自然资源部印发《关于加强智能网联汽车有关测绘地理信息安全管理的通知》 • 美国白宫发布《联邦风险和授权管理计划现代化》备忘录 • 史上最高！一财富50强企业向勒索软件支付了超5.4亿元赎金 PART01 新增在野利用 1.VMware ESXi 身份认证绕过漏洞(CV
继续阅读【已复现】CVE-2024-38856 Apache OFbiz未授权RCE漏洞
【已复现】CVE-2024-38856 Apache OFbiz未授权RCE漏洞 青藤实验室 青藤实验室 2024-08-05 16:02 >>>> 漏洞名称： CVE-2024-38856 Apache OFbiz未授权RCE漏洞 >>>> 组件名称： Apache OFbiz >>>> 漏洞类型： 远程代码执行漏洞 >
继续阅读信呼OA系统index接口处nickname参数存在SQL注入漏洞【漏洞复现|附nuclei-POC】
信呼OA系统index接口处nickname参数存在SQL注入漏洞【漏洞复现|附nuclei-POC】 原创 kingkong 脚本小子 2024-08-05 15:35 免责声明： 本文内容仅供技术学习参考，请勿用于违法破坏。利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，与作者无关。如有侵权请联系删除。 信呼OA系统index接口处nickname参数存在
继续阅读雷神众测漏洞周报2024.07.29-2024.08.04
雷神众测漏洞周报2024.07.29-2024.08.04 雷神众测 雷神众测 2024-08-05 15:03 摘要 以下内容，均摘自于互联网，由于传播，利用此文所提供的信息而造成的任何直接或间接的后果和损失，均由使用者本人负责，雷神众测以及文章作者不承担任何责任。雷神众测拥有该文章的修改和解释权。如欲转载或传播此文章，必须保证此文章的副本，包括版权声明等全部内容。声明雷神众测允许，不得任意修改
继续阅读Pixel7/8 Pro 安卓 14 内核漏洞利用
Pixel7/8 Pro 安卓 14 内核漏洞利用 原创 骨哥说事 骨哥说事 2024-08-05 13:56 声明：文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由用户承担全部法律及连带责任，文章作者不承担任何法律及连带责任。 博客新域名：https://gugesay.com **不想错过任何消息？设置星标↓ ↓ ↓ 目录 背景介绍漏洞详情gpu_pi
继续阅读[漏洞分析]LiveBos文件上传漏洞复现及绕过分析
[漏洞分析]LiveBos文件上传漏洞复现及绕过分析 原创 zzz 良月安全 2024-08-05 12:37 免责声明 本公众号所发布的所有内容，包括但不限于信息、工具、项目以及文章，均旨在提供学习与研究之用。所有工具安全性自测。如因此产生的一切不良后果与文章作者和本公众号无关。如有涉及公司与个人敏感信息，侵权烦请告知，我们会立即删除并致歉。 前言 最近看到了LiveBos的文件上传，发现他的绕
继续阅读工具 | JS接口提取并漏洞检测
工具 | JS接口提取并漏洞检测 0x7eTeam 渗透安全团队 2024-08-05 12:26 扫码查看漏洞 简介 其余功能比较简单，只介绍漏洞检测和JS接口 漏洞检测 第一步：先配置各种API 第二步：选择一个空间测绘 第三步：选择自己的脚本，检测即可 脚本编写要求【可以参考模板】 1、要求只从控制台获取一个参数，内容是url 2、检测的结果请输出之控制台 3、代理需要自己加到py里面 内网
继续阅读CVE-2024-38100：Leaked Wallpaper漏洞使Windows用户面临权限提升攻击的风险
CVE-2024-38100：Leaked Wallpaper漏洞使Windows用户面临权限提升攻击的风险 flyme 独眼情报 2024-08-05 11:38 在最近的安全公告中，微软披露了 Windows 文件资源管理器中的一个严重漏洞，编号为 CVE-2024-38100 ，CVSS 评分为 7.8 。该漏洞由 Semperis 的 Andrea Pierini 发现，允许攻击者通过特权
继续阅读CVE-2024-38856：Apache OFBiz 存在未经授权的代码执行漏洞
CVE-2024-38856：Apache OFBiz 存在未经授权的代码执行漏洞 flyme 独眼情报 2024-08-05 11:38 Apache OFBiz 是广泛采用的开源企业资源规划 (ERP) 平台，最近发现一个漏洞，由于可能存在未经授权的代码执行，因此引发了紧急安全警告。该漏洞的编号为 CVE-2024-38856 ，级别为“ 重要 ”，但安全专家警告各组织应立即采取行动，因为 E
继续阅读Calibre 电子书软件存在严重安全漏洞
Calibre 电子书软件存在严重安全漏洞 flyme 独眼情报 2024-08-05 11:38 Calibre 是一款流行的跨平台电子书管理软件，存在三个重大安全漏洞。STAR Labs SG Pte. Ltd. 的研究人员发现这些漏洞可能会使数百万用户面临各种网络威胁。 图片：Starlabs 第一个漏洞被追踪为 CVE-2024-7008 (CVSS 5.3) ，它 使 攻击者能够将恶意
继续阅读威胁者声称在exploit以 1 万美元的价格出售“.url”漏洞源代码
威胁者声称在exploit以 1 万美元的价格出售“.url”漏洞源代码 flyme 独眼情报 2024-08-05 11:38 一名威胁者宣布出售 .url 漏洞源代码，声称该代码提供了多种高级功能，可用于欺骗用户并绕过安全措施。黑客声称该漏洞在 Windows 10 和 11 系统上有效。 漏洞特征： – 加载任意图标： 自定义图标以增强欺骗性。 Chrome 警告绕过： 无缝文件
继续阅读「漏洞复现」方天云智慧平台系统 Upload.ashx 任意文件上传漏洞
「漏洞复现」方天云智慧平台系统 Upload.ashx 任意文件上传漏洞 冷漠安全 冷漠安全 2024-08-05 10:33 0x01 免责声明 免责声明 请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，作者不为此承担任何责任。工具来自网络，安全性自测，如有侵权请联系删除。本次测试仅供学习使用，如若非法他用，与平台和本
继续阅读CVE-2024-38100 Fake potato LPE漏洞分析
CVE-2024-38100 Fake potato LPE漏洞分析 3072 2024-08-05 10:07 在探索“SilverPotato”滥用的DCOM对象时，我偶然发现了“ShellWindows” DCOM应用程序。这个应用程序和“ShellBrowserWindows”一样，在进攻性安全社区中广为人知，可以通过远程实例化这些对象并具有管理员权限来进行横向移动。 然而，我好奇是否普通
继续阅读一款强大的burpsuite漏洞扫描插件
一款强大的burpsuite漏洞扫描插件 黑白之道 2024-08-05 09:53 目前功能 1. fastjson扫描 2. 权限绕过扫描 3. 未授权检测扫描 4. sql注入检测 5. 多层级路由扫描 6. 工具调用 7. log4j 检测 8. 复杂数据提交 9. 一键生成nuclei模板 10. 生成指定kb大小的随机字符串 11. 代理池功能 12. 子域名收集(复刻https:/
继续阅读【漏洞复现】某天云智慧平台系统 Upload.ashx 任意文件上传漏洞
【漏洞复现】某天云智慧平台系统 Upload.ashx 任意文件上传漏洞 原创 Superhero Nday Poc 2024-08-05 09:48 0x01 产品简介 某天云智慧平台系统，作为方天科技公司的重要产品，是一款面向企业全流程的业务管理功能平台，集成了ERP（企业资源规划）、MES（车间执行系统）、APS（先进规划与排程）、PLM（产品生命周期）、CRM（客户关系管理）等多种功能模块
继续阅读CVE-2024-7339：DVR 漏洞使超过 400000 台设备面临黑客攻击
CVE-2024-7339：DVR 漏洞使超过 400000 台设备面临黑客攻击 SOC 赛欧思安全研究实验室 2024-08-05 09:30 Linux 内核受到新的 SLUBStick 跨缓存攻击的影响 黑客入侵 ISP，用恶意软件毒害软件更新 美国起诉 TikTok 违反儿童隐私保护法 上半年整体科技罪案逾16000宗涉款逾26亿元 Facebook 上的假人工智能编辑器广告推送窃取密码的
继续阅读