VM2 JavaScript 沙箱库中存在严重的 RCE 漏洞
VM2 JavaScript 沙箱库中存在严重的 RCE 漏洞 Bill Toulas 代码卫士 2023-04-10 17:01 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 热门的 JavaScript 沙箱 VM2 库中存在一个严重的 RCE 漏洞 (CVE-2023-29017)。多款软件使用该哭在虚拟化环境中安全地运行代码。 该 VM2 库旨在 Node.js 服务器的隔离上下文
继续阅读标签： 越权访问
惠普将在90天内修复这个严重的 LaserJet 打印机漏洞
惠普将在90天内修复这个严重的 LaserJet 打印机漏洞 Bill Toulas 代码卫士 2023-04-07 17:20 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 本周，惠普发布安全公告称，将在90天内修复影响某些企业级打印机固件的一个严重漏洞 (CVE-2023-1707)。该漏洞影响约50款 HP Enterprise LaserJet 和 HP LaserJet Mana
继续阅读QNAP 提醒用户修复 NAS 设备中的高危 Linux Sudo 漏洞
QNAP 提醒用户修复 NAS 设备中的高危 Linux Sudo 漏洞 Sergiu Gatlan 代码卫士 2023-03-30 18:16 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 QNAP 公司提醒客户修复位于 NAS 设备中的一个高危 Sudo 提权漏洞 (CVE-2023-22809)。 该漏洞是由 Synacktiv 安全研究员发现的，被描述为“sudo 用户在使用 su
继续阅读热门开源代理 HAProxy 修复HTTP请求伪造漏洞
热门开源代理 HAProxy 修复HTTP请求伪造漏洞 Ben Dickson 代码卫士 2023-02-21 17:55 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 热门的开源负载均衡器和反向代理 HAProxy 修复了一个漏洞，可导致攻击者发动HTTP请求走私攻击。攻击者可发送恶意构造的HTTP请求，绕过HAProxy的过滤器并获得对后端服务器的越权访问权限。 01 被释放的标头 H
继续阅读四款微软Azure服务存在漏洞，可导致云资源遭越权访问
四款微软Azure服务存在漏洞，可导致云资源遭越权访问 Ravie Lakshmanan 代码卫士 2023-01-20 13:11 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 四款不同的微软 Azure服务易受服务器端请求伪造 (SSRF) 攻击，可使攻击者获得对云资源的越权访问权限。 这些漏洞是由Orca公司在2022年10月8日至2022年12月2日在Azure API Manag
继续阅读微软Azure新漏洞可导致RCE，研究员获3万美元奖励
微软Azure新漏洞可导致RCE，研究员获3万美元奖励 Ravie Lakshmanan 代码卫士 2023-01-20 13:11 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 和微软Azure关联的多款服务中存在一个严重的远程代码 (RCE) 漏洞，可被恶意人员用于完全控制目标应用。 发现该漏洞的Ermetic 公司的研究员 Liv Matan 在报告中提到，“该漏洞是通过SCM服务K
继续阅读CISA提醒注意西门子、通用数字和康泰克工控系统中的漏洞
CISA提醒注意西门子、通用数字和康泰克工控系统中的漏洞 Ravie Lakshmanan 代码卫士 2023-01-19 18:00 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 美国网络安全和基础设施安全局 (CISA) 发布四份工控安全公告，说明了影响西门子、通用数字 (GE Digital) 和日本康泰克 (Contec) 多款产品的安全漏洞。 其中最严重的漏洞是位于西门子SINE
继续阅读TP-Link 和 NetComm 路由器中存在多个远程代码执行漏洞
TP-Link 和 NetComm 路由器中存在多个远程代码执行漏洞 Ionut Arghire 代码卫士 2023-01-19 18:00 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 TP-Link 和 NetComm 路由器机型中存在多个漏洞，可用于实现远程代码执行 (RCE)。 TP-Link WR710N-V1-151022和Archer-C5-V2-160201 SOHO 路由
继续阅读Fortinet 两款产品FortiTester和FortiADC中存在高危命令注入漏洞
Fortinet 两款产品FortiTester和FortiADC中存在高危命令注入漏洞 Ionut Arghire 代码卫士 2023-01-05 18:13 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 本周，网络安全解决方案提供商Fortinet 发布了产品中多个漏洞的补丁，并将FortiADC中的高危命令注入漏洞告知客户。该漏洞的编号是CVE-2022-39947，位于FortiA
继续阅读《58集团漏洞标准V4.2》
《58集团漏洞标准V4.2》 58安全应急响应中心 2023-01-03 18:14 本标准将于2023年1月4日0：00起生效 基本原则 58集团非常重视自身产品和业务的安全，我们承诺对每一份报告都有专人及时跟进处理，给出漏洞评定结果以及原因，并给予白帽子与之匹配的利益。 58SRC非常希望您在提交漏洞前认真阅读平台《58SRC漏洞评分标准》、《58SRC漏洞审核策略》以及《白帽子常见FAQ》，
继续阅读【漏洞通告】Spring Security身份认证绕过漏洞CVE-2022-31692
【漏洞通告】Spring Security身份认证绕过漏洞CVE-2022-31692 深瞳漏洞实验室 深信服千里目安全技术中心 2022-11-04 17:59 漏洞名称： Spring Security 身份认证绕过漏洞 组件名称： Spring Security 影响范围： 5.6.0 ≤ Spring Security ≤ 5.6.8 5.7.0 ≤ Spring Security ≤ 5
继续阅读KCon 2022议题分享：自动化API漏洞挖掘
KCon 2022议题分享：自动化API漏洞挖掘 星阑科技 2022-09-02 11:47 演讲者介绍 周阳 星阑科技安全研发工程师。具有丰富的漏洞研究及红队武器化经验，历经主机漏洞扫描、应用漏洞扫描、开源软件供应链安全跟踪以及漏洞情报管理平台等多款产品建设，曾参与发现多个linux系统安全漏洞并收到工信部及其他部委致谢。目前专注于API安全研究以及自动化应用漏洞扫描方向。 吕竭 星阑科技安全服
继续阅读Android APP漏洞之战——SQL注入漏洞初探
Android APP漏洞之战——SQL注入漏洞初探 随风而行aa 看雪学苑 2022-08-03 17:58 本文为看雪论坛优秀文章 看雪论坛作者ID：随风而行aa 本文主要讲述Android中存在的常见的SQL注入漏洞的方式，以及如何快速的挖掘SQL注入漏洞。 本文结构如下： 第二节讲述SQL注入的基本原理 第三节讲述常见的SQL注入漏洞并复现 第四节讲述Content Provider上的s
继续阅读工业控制系统信息安全漏洞管理思考与实践
工业控制系统信息安全漏洞管理思考与实践 关键基础设施安全应急响应中心 2022-07-20 15:25 随着工业领域数字化、网络化、智能化发展加速，工业控制系统风险暴露面持续扩大，工业控制系统信息安全（以下简称工控安全）漏洞成为网络安全攻击的众矢之的，被利用风险不断攀升，产业各界高度关注工控安全漏洞管理工作。本文围绕工控安全漏洞的概念、分类及特点，立足我国产业发展实际，分析了法律政策环境，结合国家
继续阅读博通Brocade漏洞影响多家大厂的存储解决方案
博通Brocade漏洞影响多家大厂的存储解决方案 Eduard Kovacs 代码卫士 2022-07-01 19:33 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 最近，博通 (Broadcom) 公司表示，其存储网络子公司 Brocade 提供的一些软件受多个漏洞影响，可能影响多家主流厂商的产品。 博通公司表示，Brocade SANnav 存储局域网 (SAN) 管理应用受九个漏洞
继续阅读研究员披露影响10家OT厂商工控设备的56个漏洞OT:ICEFALL
研究员披露影响10家OT厂商工控设备的56个漏洞OT:ICEFALL Ravie Lakshmanan 代码卫士 2022-06-22 18:15 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 研究人员从10家运营技术 (OT) 厂商设备中发现了56个漏洞，并表示是由“设计不安全的实践”造成的。 Forescout 公司将这些漏洞统称为 “OT:ICEFALL“，设计10家OT公司的25款
继续阅读思科安全邮件设备现严重漏洞，认证机制可被绕过
思科安全邮件设备现严重漏洞，认证机制可被绕过 Sergiu Gatlan 代码卫士 2022-06-16 17:04 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 本周，思科通知客户修复一个严重漏洞（CVE-2022-20798），它可导致攻击者在非默认配置下，绕过认证并登录到思科邮件网关设备的web管理接口。 该漏洞存在于虚拟和硬件思科ESA和思科Secure Email 和 Web M
继续阅读Travis CI API 漏洞未修复，可暴露用户机密访问令牌引发供应链攻击
Travis CI API 漏洞未修复，可暴露用户机密访问令牌引发供应链攻击 Ravie Lakshmanan 代码卫士 2022-06-15 17:58 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 专栏·供应链安全 数字化时代，软件无处不在。软件如同社会中的“虚拟人”，已经成为支撑社会正常运转的最基本元素之一，软件的安全性问题也正在成为当今社会的根本性、基础性问题。 随着软件产业的快速
继续阅读开源邮件平台Zimbra 出现新漏洞，用户登录凭据可被盗
开源邮件平台Zimbra 出现新漏洞，用户登录凭据可被盗 Ravie Lakshmanan 代码卫士 2022-06-15 17:58 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 研究人员发现 Zimbra 邮件套件中又出现一个高危漏洞 (CVE-2022-27924)，如遭成功利用可导致未认证攻击者窃取用户明文密码且无需任何用户交互。 研究员在报告中指出，“通过对受害者邮箱后续的访问权
继续阅读由PolicyKit和DirtyPipe漏洞浅谈安全操作系统的意义
由PolicyKit和DirtyPipe漏洞浅谈安全操作系统的意义 关键基础设施安全应急响应中心 2022-04-19 14:19 作者 | 长扬科技信创研究院 1、前言 从去年爆出来的PolKit(CVE-2021-4034)漏洞和今年年初爆出来的DirtyPipe(CVE-2022-0847)，能够对Linux操作系统带来十分严重的安全威胁。其中，PolKit漏洞是由于软件层的错误代码编写导致
继续阅读