标签： CVE

Go语言ssti漏洞

发布于 作者:

Go语言ssti漏洞 船山信安 2025-02-17 16:00 简介 SSTI 漏洞是一种通过不安全地处理模板引擎输入而导致的漏洞。攻击者利用 SSTI 漏洞，可以注入恶意代码或表达式到模板引擎中，从而在服务器上执行任意代码，或获取敏感数据。Go中常用的模板引擎如 html/template  和 text/template ，如果使用不当，可能会导致 SSTI 漏洞。 Go中的模板引擎 Go语

继续阅读

锐明Crocus系统Service.do接口存在任意文件读取漏洞 附POC

发布于 作者:

锐明Crocus系统Service.do接口存在任意文件读取漏洞 附POC 2025-2-17更新 南风漏洞复现文库 2025-02-17 15:21 免责声明：请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果与文章作者无关。该文章仅供学习用途使用。 1. 锐明Crocus系统简介 微信公众号

继续阅读

Apache Tomcat 条件竞争致远程代码执行漏洞（CVE-2024-50379）

发布于 作者:

Apache Tomcat 条件竞争致远程代码执行漏洞（CVE-2024-50379） 菜鸡小z 无影安全实验室 2025-02-17 14:35 免责声明： 本篇文章仅用于技术交流， 请勿利用文章内的相关技术从事非法测试 ， 由于传播、利用本公众号无影安全 实验室所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号无影安全实验室及作者不为此承担任何责任，一旦造成后果请自行

继续阅读

【漏洞预警】jsonpath-plus存在远程代码执行漏洞(CVE-2025-1302)

发布于 作者:

【漏洞预警】jsonpath-plus存在远程代码执行漏洞(CVE-2025-1302) cexlife 飓风网络安全 2025-02-17 14:27 洞描描述: 版本号为10.3.0之前的јѕоnраth-рluѕ软件包存在远程代码执行（RCE）漏洞,原因是输入验证不当,攻击者可以通过利用不安全的默认еvаl=’ѕаfе’模式执行系统上的任意代码。 影响产品: json

继续阅读

腾讯偷偷接入了DeepSeek，也偷偷公布了大模型框架的漏洞和CVE

发布于 作者:

腾讯偷偷接入了DeepSeek，也偷偷公布了大模型框架的漏洞和CVE 原创 吉祥 吉祥讲安全 2025-02-17 09:33 今天中午腾讯应急响应中心发布了AI相关的安全漏洞，并且提供了扫描工具。 并且还贴心的给大家说了如何去搜索这样的洞。 除此之外还把扫描工具给到了大家： 开源地址：https://github.com/Tencent/AI-Infra-Guard/下载地址（根据系统下载自己系

继续阅读

04 漏洞从哪里来？——认知局限

发布于 作者:

04 漏洞从哪里来？——认知局限 原创 Richard 方桥安全漏洞防治中心 2025-02-17 09:01 软件安全漏洞的根源不仅是技术缺陷，更是人类认知局限的后果 。 复杂的多层架构（如Log4j2漏洞）和滞后的技术认知（如HTTP明文传输）进一步扩大了攻击面。 开发人员 缺乏安全编码训练（如输入验证不足）、 管理者 业务优先级偏差（如安全投入不足）以及 认知盲区的叠加， 正是 安全漏洞 的

继续阅读

Hoverfly 任意文件读取漏洞（CVE-2024-45388）

发布于 作者:

Hoverfly 任意文件读取漏洞（CVE-2024-45388） 蚁景网安 2025-02-17 08:30 漏洞简介 Hoverfly 是一个为开发人员和测试人员提供的轻量级服务虚拟化/API模拟/API模拟工具。其 /api/v2/simulation 的 POST 处理程序允许用户从用户指定的文件内容中创建新的模拟视图。然而，这一功能可能被攻击者利用来读取 Hoverfly 服务器上的任意

继续阅读

24%的网络漏洞在被修补前已被利用

发布于 作者:

24%的网络漏洞在被修补前已被利用 数世咨询 2025-02-17 08:13 根据VulnCheck的分析报告，2024年期间，被利用的安全漏洞（CVE）数量增加了五分之一。这一增长部分归因于透明度增加以及监控能力的提升。然而，应对这些安全威胁仍需采取积极的预防措施。 去年发现的大约四分之一（24%）的已知可被利用的安全漏洞，在对应的CVE公开披露之时或者之前就已经遭到了利用。 根据安全公司Vu

继续阅读

Cacti网络流量监测图形分析工具 任意文件写入漏洞 CVE-2025-22604

发布于 作者:

Cacti网络流量监测图形分析工具 任意文件写入漏洞 CVE-2025-22604 原创 巨黑科 巨黑科 2025-02-17 07:28 系统介绍 Cacti是一款基于PHP、MySQL、SNMP及RRDTool构建的网络流量监测图形分析工具。该工具通过SNMP协议中的snmpget命令收集数据，并利用RRDTool生成图形化分析结果，帮助用户直观地了解网络流量情况。 漏洞复现 1、登录Cact

继续阅读

原创 Paper | Zyxel Telnet 漏洞分析(CVE-2025-0890、CVE‑2024‑40891)

发布于 作者:

原创 Paper | Zyxel Telnet 漏洞分析(CVE-2025-0890、CVE‑2024‑40891) 原创 404实验室 知道创宇404实验室 2025-02-17 07:25 作者：fan@知道创宇404实验室 时间：2025年2月14日 1.前言 参考资料 这是2025年开年分析的第一个洞。2月4日 Zyxel 发布安全公告，旗下部分旧款 DSL 客户终端设备(CPE)存在严重

继续阅读

利用旧的ThinkPHP和ownCloud漏洞的攻击事件激增

发布于 作者:

利用旧的ThinkPHP和ownCloud漏洞的攻击事件激增 胡金鱼 嘶吼专业版 2025-02-17 06:00 威胁监测平台GreyNoise报告称， 越来越多的黑客正试图破坏维护不善的设备。 攻击者利用CVE-2022-47945和CVE-2023-49103攻击ThinkPHP框架和开源ownCloud文件共享和同步解决方案。 这两个漏洞都具有临界严重性，可以被利用来执行任意操作 系统命令

继续阅读

【未经核实】Zabbix RCE PoC 公布

发布于 作者:

【未经核实】Zabbix RCE PoC 公布 骨哥说事 骨哥说事 2025-02-17 01:03 声明：文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由用户承担全部法律及连带责任，文章作者不承担任何法律及连带责任。 ****# 防走失：https://gugesay.com/ **不想错过任何消息？设置星标↓ ↓ ↓ CVE-2024-42327 Za

继续阅读

御话资讯|一周安全要闻（02.10-02.14）

发布于 作者:

御话资讯|一周安全要闻（02.10-02.14） 网御星云 2025-02-17 00:00 行业动态 【《公共安全视频图像信息系统管理条例》发布】 《公共安全视频图像信息系统管理条例》于2024年12月16日国务院第48次常务会议通过，现予公布，自2025年4月1日起施行。 来源：中国信息安全 【1项网络安全国家标准获批发布】 根据2025年1月24日国家市场监督管理总局、国家标准化管理委员会发

继续阅读

攻击者利用最近披露的Palo Alto Networks PAN-OS防火墙漏洞

发布于 作者:

攻击者利用最近披露的Palo Alto Networks PAN-OS防火墙漏洞 鹏鹏同学 黑猫安全 2025-02-16 23:00 研究人员警告称，威胁行为者正在利用Palo Alto Networks PAN-OS防火墙中最近披露的一个漏洞，该漏洞被追踪为CVE-2025-0108。 Shadowserver基金会的研究人员自2024年2月13日UTC时间凌晨4点以来，在他们的蜜罐中观察到了

继续阅读

专家发现PostgreSQL漏洞与BeyondTrust零日漏洞在针对性攻击中被串联利用

发布于 作者:

专家发现PostgreSQL漏洞与BeyondTrust零日漏洞在针对性攻击中被串联利用 鹏鹏同学 黑猫安全 2025-02-16 23:00 Rapid7的研究人员发现PostgreSQL的psql工具中存在一个高危SQL注入漏洞，追踪为CVE-2025-1094。专家在调查CVE-2024-12356漏洞的远程代码执行利用时发现了该漏洞。BeyondTrust于2024年12月修复了CVE-2

继续阅读

美国CISA敦促开发人员消除缓冲区溢出漏洞

发布于 作者:

美国CISA敦促开发人员消除缓冲区溢出漏洞 安全学习那些事儿 2025-02-16 23:00 2025年2月14日， 美国网络安全和基础设施安全局CISA再次提醒IT制造商和开发人员，必须消除软件中的缓冲区溢出漏洞。简而言之，企业需要快速采用”安全设计”政策。 CISA针对缓冲区溢出漏洞发布了一项新的警报，敦促软件行业采用正确的编程方法来消除一整类危险的安全漏洞。CISA

继续阅读

CISA已将Apple iOS和iPadOS以及Mitel SIP电话的漏洞添加到其已知被利用漏洞目录中

发布于 作者:

CISA已将Apple iOS和iPadOS以及Mitel SIP电话的漏洞添加到其已知被利用漏洞目录中 鹏鹏同学 黑猫安全 2025-02-16 23:00 美国网络安全和基础设施安全局（CISA）已将Apple iOS和iPadOS以及Mitel SIP电话的漏洞添加到其已知被利用漏洞（KEV）目录中。 这两个漏洞分别是： CVE-2025-24200：Apple iOS和iPadOS授权不当

继续阅读

CVE-2025-1127 严重漏洞：利用非特权用户执行和未经授权的数据修改

发布于 作者:

CVE-2025-1127 严重漏洞：利用非特权用户执行和未经授权的数据修改 原创 Trangs 小哆啦安全 2025-02-16 14:36 随着技术的不断进步，系统的复杂性和潜在的安全漏洞也在增加。CVE 计划（常见漏洞和披露）旨在识别、跟踪和修复此类漏洞，以确保数字世界可以成为一个更安全的地方。其中一个被确定为 CVE-2025-1127 的漏洞引起了广泛关注，因为它允许攻击者以非特权用户身

继续阅读

AMD贴片会影响EPYC和RYZEN处理器的高度SMM漏洞

发布于 作者:

AMD贴片会影响EPYC和RYZEN处理器的高度SMM漏洞 Ots安全 2025-02-16 12:06 AMD 发布了安全补丁，修复了影响其系统管理模式 (SMM) 的两个高严重性漏洞。SMM 是 AMD 处理器固件中的特权执行环境。如果利用这些漏洞，特权攻击者可以执行任意代码，并可能损害系统完整性。 这些漏洞的编号为 CVE-2024-0179 和 CVE-2024-21925，CVSS 评分

继续阅读

NVIDIA Container Toolkit 执行代码攻击漏洞

发布于 作者:

NVIDIA Container Toolkit 执行代码攻击漏洞 网安百色 2025-02-16 11:23 点击上方 蓝字 关注我们吧~ 英伟达（NVIDIA）发布了一项安全更新，以解决其NVIDIA容器工具包和NVIDIA GPU操作符中的一个关键漏洞，该漏洞可能允许攻击者执行任意代码，提升权限，并获得对主机文件系统的访问权限。 该漏洞被跟踪为cve – 2035 -23359，

继续阅读

【安全圈】PostgreSQL漏洞与BeyondTrust零日漏洞被联合利用

发布于 作者:

【安全圈】PostgreSQL漏洞与BeyondTrust零日漏洞被联合利用 安全圈 2025-02-16 11:01 关键词 漏洞 根据 Rapid7 的调查结果，利用 BeyondTrust 特权远程访问（PRA）和远程支持（RS）产品中的零日漏洞（CVE-2024-12356）的攻击者，可能还利用了 PostgreSQL 中一个此前未知的 SQL 注入漏洞。 该漏洞被追踪为 CVE-2025

继续阅读

SonicWall 防火墙身份验证绕过漏洞在 PoC 发布后遭广泛利用

发布于 作者:

SonicWall 防火墙身份验证绕过漏洞在 PoC 发布后遭广泛利用 独眼情报 2025-02-16 10:05 网络安全公司警告称，SonicWall 防火墙中一个严重的身份验证绕过漏洞（CVE-2024-53704）目前正在被积极利用。 2025 年 2 月 10 日，Bishop Fox 的研究人员公开发布了概念验证 (PoC) 漏洞代码，随后攻击次数激增，这加大了未修补设备的组织面临的风

继续阅读

我如何入侵荷兰政府：利用无辜图像进行远程代码执行

发布于 作者:

我如何入侵荷兰政府：利用无辜图像进行远程代码执行 hai dragon 安全狗的自我修养 2025-02-15 23:03 赋予动机： 在一次安全会议上，我看到一个穿着 T 恤的人，上面写着“我黑了荷兰政府，我得到的只是这件糟糕的 T 恤。 出于好奇，我走近他，问他是怎么得到的。我决心要得到那个很酷的赃物。 照片由  阿德里安  on  Unsplash 范围： 我开始寻找机会，并偶然发现了一份符

继续阅读

Palo Alto Networks PAN-OS 身份验证绕过漏洞批量检测脚本(CVE-2025-0108)

发布于 作者:

Palo Alto Networks PAN-OS 身份验证绕过漏洞批量检测脚本(CVE-2025-0108) iSee857 网络安全者 2025-02-15 16:00 =================================== 免责声明请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，作者不为此承担任何责

继续阅读

Fortinet FortiSwitch 凭证管理不当漏洞 可导致远程代码执行

发布于 作者:

Fortinet FortiSwitch 凭证管理不当漏洞 可导致远程代码执行 上汽集团网络安全应急响应中心 2025-02-15 15:56 漏洞情报 Fortinet FortiSwitch 凭证管理不当漏洞 可导致远程代码执行 【 漏洞编号 】 CVE-2023-37936 【 情报等级 】 高危 【 漏洞描述 】 360漏洞云监测到Fortinet 针对影响 FortiSwitch 产品线

继续阅读