标签： 访问控制

AI绘图工具ComfyUI爆高危漏洞，境外黑客已发起攻击！

发布于 作者:

AI绘图工具ComfyUI爆高危漏洞，境外黑客已发起攻击！ 原创 道玄安全 道玄网安驿站 2025-06-01 07:57 “  AI漏洞。” PS：有内网web自动化需求可以私信 01 — 导语 国家网络安全通报中心于5月27日发布紧急安全警报：广受欢迎的AI绘图工具 ComfyUI存在多个高危漏洞 ，已被境外黑客组织利用对我国网络资产实施攻击。 这一消息在AI创作圈引发震动。作为一款 通过图形

继续阅读

Mimo黑客利用Craft CMS漏洞(CVE-2025-32432)！挖矿、流量劫持，更演变为勒索软件威胁！

发布于 作者:

Mimo黑客利用Craft CMS漏洞(CVE-2025-32432)！挖矿、流量劫持，更演变为勒索软件威胁！ 原创 Hankzheng 技术修道场 2025-06-01 02:39 近期，以经济利益为主要驱动的黑客组织“Mimo”被发现正积极利用Craft CMS内容管理系统中一个新近披露的远程代码执行漏洞（CVE-2025-32432 ）。一旦成功利用此“最高级别”漏洞，攻击者会在受害服务器上

继续阅读

聊热点｜国家安全部发布使用AI应用保密安全指南、OpenAI o3模型单挑Linux内核，竟揪出一个0-day高危漏洞……

发布于 作者:

聊热点｜国家安全部发布使用AI应用保密安全指南、OpenAI o3模型单挑Linux内核，竟揪出一个0-day高危漏洞…… 中国电信安全 2025-05-30 08:13 01 行业动态 国家安全部发布使用AI应用保密安全指南 随着人工智能技术的迅猛发展，AI应用在文字处理、数据分析、个性化服务等领域展现了卓越的能力，前所未有地融入我们工作和生活的方方面面。需要注意的是，我们在享受技术红利之时，也

继续阅读

信息安全漏洞周报【第024期】

发布于 作者:

信息安全漏洞周报【第024期】 零零捌信安观察 银天信息 2025-05-30 07:40 点击蓝字 关注我们 零零捌信安观察近期注意到，国家信息安全漏洞共享平台（CNVD）及国家信息安全漏洞库（CNNVD）等权威机构发布了最新的安全公告。经过我们团队的分析和筛查，我们收录了以下被认定为风险的安全漏洞信息。 目前，相关官方机构已经发布了针对这些安全漏洞的补丁和修复方案。我们建议相关用户和组织及时关

继续阅读

【高危漏洞预警】Apache Commons BeanUtils远程代码执行漏洞CVE-2025-48734

发布于 作者:

【高危漏洞预警】Apache Commons BeanUtils远程代码执行漏洞CVE-2025-48734 cexlife 飓风网络安全 2025-05-29 10:46 漏洞描述: 在Apache Commons框架中,检测到存在不当访问控制漏洞于1.9.2版本引入了一个专门的BeanIntrospector类,其设计初衷是用于防范攻击者借助Java枚举对象的声明类属性获取类加载器的访问权限,

继续阅读

【漏洞通告】Google Chrome V8越界写入漏洞(CVE-2025-5280)

发布于 作者:

【漏洞通告】Google Chrome V8越界写入漏洞(CVE-2025-5280) 启明星辰安全简讯 2025-05-29 08:10 一、漏洞概述 漏洞名称 Google Chrome V8越界写入漏洞 CVE ID CVE-2025-5280 漏洞类型 越界写入 发现时间 2025-05-29 漏洞评分 8.8 漏洞等级 高危 攻击向量 网络 所需权限 不需要 利用难度 低 用户交互 需要

继续阅读

漏洞致命主义已经结束：为什么身份威胁预防是网络安全的未来

发布于 作者:

漏洞致命主义已经结束：为什么身份威胁预防是网络安全的未来 原创 sanlihesec 独角鲸网络安全实验室 2025-05-29 07:39 在一个平静的午后，小李正准备查看他的商业邮件，却发现邮箱已被登录，所有文件都被加密，屏幕上显示着勒索信息。那一刻，他才意识到，传统网络安全思维已经无法再保护他的企业。近年来，随着身份威胁的不断演变，一种新的网络安全概念——身份威胁预防（ITP）逐渐兴起，这或

继续阅读

【APT与高危漏洞追踪】国家级黑客UNC5221利用Ivanti漏洞，关键基础设施安全再敲警钟

发布于 作者:

【APT与高危漏洞追踪】国家级黑客UNC5221利用Ivanti漏洞，关键基础设施安全再敲警钟 原创 Hankzheng 技术修道场 2025-05-29 00:00 国家级高级持续性威胁（APT）活动与高危漏洞的利用，持续对全球关键基础设施、政府机构和重要企业构成严峻挑战。本周，多个APT组织的活跃踪迹以及一系列关键软件的高危漏洞被披露，再次凸显了 proactive（主动）威胁情报、漏洞管理和

继续阅读

【严重漏洞预警】vBulletin replaceAdTemplat远程代码执行漏洞（CVE-2025-48827）

发布于 作者:

【严重漏洞预警】vBulletin replaceAdTemplat远程代码执行漏洞（CVE-2025-48827） cexlife 飓风网络安全 2025-05-28 14:34 漏洞描述: vBulletin是一个商业论坛程序,vBulletin replaceAdTemplat存在远程代码执行漏洞,攻击者可构造恶意请求在无需登录的情况下执行任意代码控制服务器。 攻击场景: 攻击者可能通过未认

继续阅读

阿迪达斯数据泄露，第三方服务商漏洞致客户信息外泄

发布于 作者:

阿迪达斯数据泄露，第三方服务商漏洞致客户信息外泄 FreeBuf FreeBuf 2025-05-28 10:07 德国运动品牌巨头阿迪达斯已确认发生重大数据泄露事件，攻击者通过入侵第三方客户服务提供商获取了客户联系信息。2025年5月23日的泄露事件导致曾与该公司客服中心互动过的消费者联系方式外泄，但密码、信用卡数据等支付相关信息未受影响。 该事件凸显了大型零售商面临的日益严峻的网络安全挑战。根

继续阅读

SAST国标分析︱灵脉AI深度兼容GB/T 34943/34944-2017源代码漏洞测试规范

发布于 作者:

SAST国标分析︱灵脉AI深度兼容GB/T 34943/34944-2017源代码漏洞测试规范 数说安全 2025-05-28 06:30 随着信息技术的飞速发展，软件系统的规模和复杂度不断增加。在C/C++和Java语言编写的软件中，代码量庞大且结构复杂，这使得隐藏在源代码中的漏洞数量也随之增多。这些漏洞可能被攻击者利用，从而对软件系统的安全性、稳定性和可靠性造成严重威胁。这使得制定C/C++和

继续阅读

WordPress Madara 本地文件包含漏洞 (CVE-2025-4524)

发布于 作者:

WordPress Madara 本地文件包含漏洞 (CVE-2025-4524) Superhero Nday Poc 2025-05-27 06:48 内容仅用于学习交流自查使用，由于传播、利用本公众号所提供的 POC 信息及 POC对应脚本 而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号Nday Poc及作者不为此承担任何责任，一旦造成后果请自行承担！ 01 漏洞概述 适用

继续阅读

Windows Server 2025 “BadSuccessor”漏洞解析：dMSA 新特性反成“权限赠予后门”，域控一击即溃

发布于 作者:

Windows Server 2025 “BadSuccessor”漏洞解析：dMSA 新特性反成“权限赠予后门”，域控一击即溃 原创 Hankzheng 技术修道场 2025-05-26 09:00 大家好！安全攻防的战场上，意想不到的“友军火力”往往最为致命。Windows Server 2025 被寄予厚望用以加固防线的新特性——委派托管服务账户 (dMSA)，竟被曝出存在一个名为 “Bad

继续阅读

关键基础设施遭受攻击：漏洞成为黑客首选武器

发布于 作者:

关键基础设施遭受攻击：漏洞成为黑客首选武器 数世咨询 2025-05-26 08:00 黑客越来越多地利用漏洞来入侵关键基础设施系统 。IBM X-Force 的数据显示，去年其响应的安全事件中，70%发生在关键基础设施领域，其中超过四分之一是通过漏洞利用实现的。 IBM X-Force 战略威胁分析经理 Michelle Alvarez 表示：“过去一年，我们观察到攻击手段持续转向身份攻击，尤其

继续阅读

车联网安全 | 通过API漏洞控制全球日产LEAF车辆功能

发布于 作者:

车联网安全 | 通过API漏洞控制全球日产LEAF车辆功能 白帽子左一 白帽子左一 2025-05-26 04:03 小编寄语：虽然是很老的报告，但小编认为在当下仍然具有启发意义 扫码领资料 获网安教程 来Track安全社区投稿~ 赢千元稿费！还有保底奖励~（https://bbs.zkaq.cn） 上个月，我在挪威为  ProgramUtvikling  做了一场培训，他们是我非常喜欢的 NDC

继续阅读

AI 赋能漏洞变种分析：从已知到未知，Hacktron 发现 Ivanti EPMM 新攻击向量的启示

发布于 作者:

AI 赋能漏洞变种分析：从已知到未知，Hacktron 发现 Ivanti EPMM 新攻击向量的启示 原创 JunYi 毅心安全 2025-05-26 02:47 AI 赋能漏洞变种分析：从已知到未知，Hacktron 发现 Ivanti EPMM 新攻击向量的启示 漏洞原文 https://www.hacktron.ai/blog/posts/ivanti-epmm-variant-analy

继续阅读

Windows Server 2025 漏洞（BadSuccessor）暴露 Active Directory 帐户

发布于 作者:

Windows Server 2025 漏洞（BadSuccessor）暴露 Active Directory 帐户 Ots安全 2025-05-25 06:53 Windows Server 2025中发现了一个严重漏洞，威胁行为者可以利用该漏洞提升权限并访问 Active Directory 中的任意用户帐户。该漏洞存在于新推出的委托托管服务帐户 (dMSA) 功能中，该功能最初是为了抵御 K

继续阅读

满分严重漏洞导致 MB-Gateway 设备易受远程攻击

发布于 作者:

满分严重漏洞导致 MB-Gateway 设备易受远程攻击 Eduard Kovacs 代码卫士 2025-05-22 09:32 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 由工业自动化公司 AutomationDirect 制造的 MB-Gateway 设备因受严重漏洞影响，易受远程攻击。 CISA 在本周二披露了该漏洞，并在安全通告中提到，易受攻击的 Modbus 网关产品的客户遍布

继续阅读

朱雀实验室协助vLLM修复CVSS 9.8分严重漏洞

发布于 作者:

朱雀实验室协助vLLM修复CVSS 9.8分严重漏洞 原创 腾讯朱雀实验室 腾讯安全应急响应中心 2025-05-22 03:24 作者：Kikay、Nicky 腾讯朱雀实验室发现vLLM推理框架存在严重安全漏洞（CVE-2025-47277，CVSS 9.8分），攻击者可利用此漏洞控制GPU服务器，窃取模型、算力或中断服务。vLLM团队已修复该漏洞并致谢腾讯朱雀实验室。 vLLM框架的重要性与安

继续阅读

OPC UA协议与漏洞分析

发布于 作者:

OPC UA协议与漏洞分析 原创 自主研发技术驱动 珞安科技 2025-05-21 10:02 01 概 述 OPC（OLE for Process Control）是一种专为工业自动化系统设计的数据通信标准，旨在解决不同厂商设备间接口不统一、通信协议不兼容、驱动开发重复等问题。早期 OPC 标准基于微软 COM/DCOM 技术，主要运行于 Windows 平台。这一阶段的 OPC 规范统称为 O

继续阅读

【漏洞处置SOP】飞致云DataEase未授权访问控制不当漏洞（CVE-2024-30269）

发布于 作者:

【漏洞处置SOP】飞致云DataEase未授权访问控制不当漏洞（CVE-2024-30269） 原创 just4fun 方桥安全漏洞防治中心 2025-05-21 10:02 01 SOP基本信息 SOP名称：飞致云DataEase未授权访问控制不当漏洞（CVE-2024-30269）处置标准作业程序（SOP） 版本： 1.0 发布日期： 2025-04-09 作者：just4fun 审核人： T

继续阅读

我的第一个漏洞赏金计划：我如何赚到 1,000 美元

发布于 作者:

我的第一个漏洞赏金计划：我如何赚到 1,000 美元 haidragon 安全狗的自我修养 2025-05-21 09:16 漏洞赏金狩猎已经在我的雷达上停留了一段时间。在阅读了数十篇文章并深入研究了 HackerOne 的文档之后，我终于决定亲身实践。本文讲述了我如何发现一个微妙却影响深远的漏洞，并最终获得我的第一笔 1,000 美元赏金，以及我在此过程中汲取的经验教训。 奠定基础 和大多数初入

继续阅读

【漏洞通告】glibc静态setuid程序dlopen代码执行漏洞安全风险通告

发布于 作者:

【漏洞通告】glibc静态setuid程序dlopen代码执行漏洞安全风险通告 嘉诚安全 2025-05-21 00:39 漏洞背景 近日，嘉诚安全 监测到 glibc静态setuid程序dlopen代码执行漏洞，漏洞编号为： CVE-2025-4802 。 setuid二进制文件是具有特殊权限的程序，可以以文件拥有者的身份执行。dlopen是一个动态加载库的函数，通常用于在运行时加载共享库。 鉴

继续阅读

Google Chrome 访问控制不当漏洞

发布于 作者:

Google Chrome 访问控制不当漏洞 上汽集团网络安全应急响应中心 2025-05-20 15:55 漏洞情报 Google Chrome 访问控制不当漏洞 【 漏洞编号 】 CVE-2025-4664 【 情报等级 】 中危 【 漏洞描述 】 360漏洞云监测到 Google Chrome 发布新版本，修复了4个安全漏洞，其中包括一个访问控制不当漏洞，该漏洞的存在是由于Loader的策略

继续阅读

【漏洞通告】glibc静态setuid程序dlopen代码执行漏洞 (CVE-2025-4802)

发布于 作者:

【漏洞通告】glibc静态setuid程序dlopen代码执行漏洞 (CVE-2025-4802) 启明星辰安全简讯 2025-05-20 08:38 一、漏洞概述 漏洞名称 glibc静态setuid程序dlopen代码执行漏洞 CVE ID CVE-2025-4802 漏洞类型 代码执行 发现时间 2025-05-20 漏洞评分 9.8 漏洞等级 严重 攻击向量 网络 所需权限 无 利用难度

继续阅读

GNU C（glibc）漏洞可以在数百万 Linux 系统执行任意代码

发布于 作者:

GNU C（glibc）漏洞可以在数百万 Linux 系统执行任意代码 会杀毒的单反狗 军哥网络安全读报 2025-05-20 01:00 导读 安全研究人员披露 GNU C 库 (glibc) 中的一个重大漏洞，可能影响全球数百万个 Linux 系统。 漏洞编号为 CVE-2025-4802，涉及静态链接的 setuid 二进制文件，这些二进制文件错误地搜索库路径，可能允许攻击者以提升的权限执行

继续阅读

IDOR_detect_tool【API越权漏洞检测工具】

发布于 作者:

IDOR_detect_tool【API越权漏洞检测工具】 原创 白帽学子 白帽学子 2025-05-20 00:11 在各类安全行动里，对各类漏洞的检测就变得特别关键，尤其是 API 水平越权漏洞，这类漏洞要是被利用了，攻击者就能越权访问一些敏感数据，后果很严重。 我最近发现了一款超实用的开源网络安全工具，正好能解决 API 水平越权漏洞检测的问题。它的检测逻辑特别细致，能把很多干扰因素都排除掉

继续阅读

SAP漏洞风暴升级：BianLian、RansomExx及更多团伙利用组合拳攻击NetWeaver

发布于 作者:

SAP漏洞风暴升级：BianLian、RansomExx及更多团伙利用组合拳攻击NetWeaver 原创 Hankzheng 技术修道场 2025-05-20 00:03 导语：  企业核心系统SAP NetWeaver正面临严峻的安全挑战。 BianLian 、 RansomExx (Storm-2460)  等多个高级威胁团伙，以及包括 UNC5221 在内的其他攻击力量，均被发现利用SAP

继续阅读