【安全圈】苹果紧急修复两枚被用于定向攻击iPhone的零日漏洞
【安全圈】苹果紧急修复两枚被用于定向攻击iPhone的零日漏洞 安全圈 2025-04-17 11:02 关键词 零日漏洞 苹果公司已发布iOS 18.4.1和iPadOS 18.4.1更新，修复两个被用于针对特定iPhone用户实施高度定向、复杂攻击的关键零日漏洞。 这两个漏洞存在于CoreAudio和RPAC组件中，攻击者可利用它们在受影响设备上执行任意代码或绕过安全保护机制。 两个正被活跃利
继续阅读标签： EXP
【漏洞预警】Erlang/OTP 严重 SSH 漏洞允许未认证的远程代码执行（CVE-2025-32433）
【漏洞预警】Erlang/OTP 严重 SSH 漏洞允许未认证的远程代码执行（CVE-2025-32433） 原创 安全探索者 安全探索者 2025-04-17 08:46 ↑点击关注，获取更多漏洞预警，技术分享 0x01 组件介绍 Erlang 它是一款强大的编程语言和 运行时系统 ，旨在构建高度可扩展、容错和软实时的系统。 OTP 是一套 Erlang 库，包含 Erlang 运行时系统和
继续阅读300 毫秒获取管理员权限：掌握 DLL 劫持和 Hook 技术（CVE-2025-24076/CVE-2025-24994）
300 毫秒获取管理员权限：掌握 DLL 劫持和 Hook 技术（CVE-2025-24076/CVE-2025-24994） JOHN OSTROWSKI securitainment 2025-04-17 08:20 300 Milliseconds to Admin Mastering DLL Hijacking and Hooking to Win the Race (CVE-2025-2
继续阅读CVE 漏洞项目及时”续命”,11个月后生死难料
CVE 漏洞项目及时”续命”,11个月后生死难料 原创 数世咨询 数世咨询 2025-04-17 08:00 2025年4月15日，美国非营利研发组织MITRE宣布，其与美国国土安全部（DHS）签订的”通用漏洞披露（CVE）”数据库维护合同将于2025年4月16日午夜到期。这个运行25年的项目作为网络安全防御体系的核心支柱，因美国国土安全部未说明具体
继续阅读Java命令执行审计怎么查？关键词清单来了！（附类型汇总）
Java命令执行审计怎么查？关键词清单来了！（附类型汇总） 原创 火力猫 季升安全 2025-04-17 06:09 🔥Java 命令执行类型汇总 序号 执行方式 关键类/方法 说明 1 Runtime.exec() java.lang.Runtime 最经典方式，直接执行命令 2 ProcessBuilder.start() java.lang.ProcessBuilder 更灵活的命令构造方式
继续阅读【已发现在野利用】Apple iOS 与 iPadOS 多个在野高危漏洞安全风险通告
【已发现在野利用】Apple iOS 与 iPadOS 多个在野高危漏洞安全风险通告 奇安信 CERT 2025-04-17 06:06 ● 点击↑蓝字关注我们，获取更多安全风险通告 漏洞概述 漏洞名称 Apple iOS 与 iPadOS 多个在野高危漏洞 漏洞编号 CVE-2025-31200、CVE-2025-31201 公开时间 2025-04-16 影响量级 十万级 奇安信评级 高危
继续阅读【云安全】云原生- K8S IngressNightmare CVE-2025-1974（漏洞复现完整教程）
【云安全】云原生- K8S IngressNightmare CVE-2025-1974（漏洞复现完整教程） 原创 仇辉攻防 仇辉攻防 2025-04-17 03:45 漏洞原理 https://www.wiz.io/blog/ingress-nginx-kubernetes-vulnerabilities 我理解后，总结成两方面： a、配置注入过程 1. 构造一个恶意的Ingress资源，其中注
继续阅读2个苹果iPhone零日漏洞在高度复杂的攻击中被积极利用
2个苹果iPhone零日漏洞在高度复杂的攻击中被积极利用 邑安科技 邑安全 2025-04-17 03:32 更多全球网络安全资讯尽在邑安全 Apple 发布了 iOS 18.4.1 和 iPadOS 18.4.1，以解决两个关键的零日漏洞，这些漏洞在针对特定个人 iPhone 的高度针对性、复杂的攻击中被积极利用。 在 CoreAudio 和 RPAC 组件中发现的漏洞可能允许攻击者在受影响的设
继续阅读CVE要黄？特朗普认为漏洞数据库与国家安全无关
CVE要黄？特朗普认为漏洞数据库与国家安全无关 GoUpSec 2025-04-17 03:28 全球网络安全市场的重要支柱——CVE（通用漏洞披露）项目，正面临资金断裂危机。作为一个运行了25年的漏洞数据库，CVE为数以万计的安全漏洞分配唯一的标识符，让漏洞管理变得清晰、高效。然而，本周三，美国政府对其的资助即将到期，而特朗普政府的态度似乎是：这玩意儿跟国家安全没啥关系。 安全业内人士警告：如果
继续阅读苹果称新发现的0day漏洞针对使用 iOS 的“特定目标个人”
苹果称新发现的0day漏洞针对使用 iOS 的“特定目标个人” 会杀毒的单反狗 军哥网络安全读报 2025-04-17 01:00 导读 苹果公司在其产品线中发布了新的软件更新，以修复两个安全漏洞。该公司表示，这两个漏洞可能已被积极利用，以攻击特定的苹果用户。 苹果公司在其网站上发布的安全公告中确认已修复这两个 0day 漏洞，这些漏洞“可能被利用来针对 iOS 上的特定目标个人发起极其复杂的攻击
继续阅读专家发现 Windows 任务计划程序中存在四个新的权限提升漏洞
专家发现 Windows 任务计划程序中存在四个新的权限提升漏洞 会杀毒的单反狗 军哥网络安全读报 2025-04-17 01:00 导读 网络安全研究人员详细介绍了 Windows任务调度服务核心组件中的四个不同漏洞，本地攻击者可以利用这些漏洞实现权限提升并擦除日志以掩盖恶意活动的证据。 漏洞出在名为“ schtasks.exe ”的二进制文件中，该程序允许管理员在本地或远程计算机上创建、删除、
继续阅读一张图拆解：CVE漏洞的旅程
一张图拆解：CVE漏洞的旅程 哆啦安全 2025-04-17 00:55 近日，CVE要被终止资助而引起了热议。甚至有人这样描述“全球所有行业都依赖CVE计划在管理威胁时保持生存，因此像这样的突然停顿就像剥夺了网络安全行业的氧气，还指望它能自发长出腮部一样。” All industries worldwide depend on the CVE program to keep their head
继续阅读一文看懂 Java 命令执行的源码审计与防御
一文看懂 Java 命令执行的源码审计与防御 原创 火力猫 季升安全 2025-04-17 00:30 ☠️ Java 命令执行全景式源码审计指南 本文围绕 Java 程序中可能存在的命令执行方式进行深入挖掘与分析，不局限于常规 Runtime.getRuntime() 与 ProcessBuilder ，剖析更多隐蔽的命令执行点，助你在审计与渗透中快速识别可控点。 🎯 为什么不仅仅是 Runt
继续阅读【Python代码审计】佰阅发卡存在前台RCE漏洞
【Python代码审计】佰阅发卡存在前台RCE漏洞 原创 ReversingByte 星悦安全 2025-04-16 13:09 点击上方 蓝字 关注我们 并设为 星标 0x00 前言 █ 该文章来自零日防线社区版主 Reversing_Byte 投稿 █ 适用于各种电商、优惠卷、论坛邀请码、充值卡、激活码、注册码、腾讯爱奇艺积分CDK等，支持手工和全自动发货，分层批发模式。 :lollip
继续阅读【漏洞通告】Oracle Scripting iSurvey模块远程代码执行漏洞(CVE-2025-30727)
【漏洞通告】Oracle Scripting iSurvey模块远程代码执行漏洞(CVE-2025-30727) 启明星辰安全简讯 2025-04-16 09:47 一、漏洞概述 漏洞名称 Oracle Scripting iSurvey模块远程代码执行漏洞 CVE ID CVE-2025-30727 漏洞类型 代码执行 发现时间 2025-04-16 漏洞评分 9.8 漏洞等级 严重 攻击向
继续阅读攻击者正通过 sourceforge 平台传播一款挖矿程序和 ClipBanker 木马病毒
攻击者正通过 sourceforge 平台传播一款挖矿程序和 ClipBanker 木马病毒 原创 kaspersky 卡巴斯基威胁情报 2025-04-16 09:21 最近，我们注意到一种相当独特的恶意软件分发方案，该方案利用了SourceForge网站，这是一家提供软件托管、比较和分发服务的热门网站。该网站托管着众多软件项目，任何人都可以上传自己的项目。在主网站sourceforge.net
继续阅读Apache Roller 漏洞让攻击者获得未经授权的访问
Apache Roller 漏洞让攻击者获得未经授权的访问 邑安科技 邑安全 2025-04-16 08:45 更多全球网络安全资讯尽在邑安全 在 Apache Roller 中发现了一个严重的安全漏洞，允许攻击者在更改密码后保持对博客系统的未经授权的访问。 漏洞 CVE-2025-24859 已获得 CVSS v4 的最高评分 10，表明受影响的系统面临严重风险。 该安全漏洞源于 Apache
继续阅读Chrome曝高危漏洞，攻击者可窃取数据并越权访问
Chrome曝高危漏洞，攻击者可窃取数据并越权访问 邑安科技 邑安全 2025-04-16 08:45 更多全球网络安全资讯尽在邑安全 谷歌在发现两个高危漏洞后，已紧急为其Chrome浏览器推出安全更新。这些漏洞可能允许攻击者窃取敏感数据并越权访问用户系统。 编号为CVE-2025-3619和CVE-2025-3620的漏洞影响以下版本： – Windows/Mac ：低于135.0.
继续阅读Windows 11曝权限提升漏洞，攻击者300毫秒内可获取管理员权限
Windows 11曝权限提升漏洞，攻击者300毫秒内可获取管理员权限 邑安全 2025-04-16 08:45 更多全球网络安全资讯尽在邑安全 Windows 11 中的一个严重漏洞允许攻击者在短短 300 毫秒内从低权限用户升级到完全系统管理员权限。 该漏洞被跟踪为 CVE-2025-24076，通过复杂的 DLL 劫持技术利用了 Windows 11“移动设备”功能的弱点。 该安全漏洞于 2
继续阅读AI挖洞 | 利用无问AI帮助甲方修复漏洞
AI挖洞 | 利用无问AI帮助甲方修复漏洞 原创 神农Sec 神农Sec 2025-04-16 06:55 扫码加圈子 获内部资料 网络安全领域各种资源，EDUSRC证书站挖掘、红蓝攻防、渗透测试等优质文章，以及工具分享、前沿信息分享、POC、EXP分享。 不定期分享各种好玩的项目及好用的工具，欢迎关注。加内部圈子，文末有彩蛋（知识星球优惠卷）。 利用无问AI帮助甲方修复漏洞 今天在渗透的时候，发
继续阅读【复现】Oracle E-Business Suite远程代码执行漏洞(CVE-2025-30727)风险通告
【复现】Oracle E-Business Suite远程代码执行漏洞(CVE-2025-30727)风险通告 赛博昆仑CERT 2025-04-16 06:18 赛博昆仑漏洞 安全风险通告 Oracle E-Business Suite远程代码执行漏洞 (CVE-2025-30727) 风险通告 漏洞描述 Oracle E-Business Suite（简称 EBS），是Oracle 公司开发的
继续阅读CVE停摆？全球通用漏洞数据库项目面临资金危机
CVE停摆？全球通用漏洞数据库项目面临资金危机 安全客 2025-04-16 03:25 由美国非营利研究机构MITRE主导的“通用漏洞与暴露（CVE）”计划，其资金支持于4月16日到期。这一全球网络安全领域的基石项目，长期以来在漏洞管理和防御方面发挥着举足轻重的作用。然而，由于美国国土安全部（DHS）未续签MITRE的资助合同，CVE项目的持续运营面临中断的风险。此举引发了全球安全行业的广泛关注
继续阅读Oracle 2025年4月补丁日多产品高危漏洞安全风险通告
Oracle 2025年4月补丁日多产品高危漏洞安全风险通告 奇安信 CERT 2025-04-16 01:05 ● 点击↑蓝字关注我们，获取更多安全风险通告 漏洞概述 漏洞名称 Oracle 2025年4月补丁日多产品高危漏洞 影响产品 Oracle MySQL Connectors、Oracle MySQL Server等 公开时间 2025-04-16 影响对象数量级 百万级 奇安信评级
继续阅读MCP漏洞利用实例：窃取WhatsAPP历史消息
MCP漏洞利用实例：窃取WhatsAPP历史消息 原创 孙志敏 AI与安全 2025-04-15 20:18 前边我们讲了MCP的工具投毒攻击(TPA)（MCP协议漏洞：工具投毒攻击（TPA）），本篇是一个具体的例子，展示了不受信任的 MCP 服务器如何攻击并窃取与受信任的 WhatsApp MCP 实例相连的代理系统的数据，从而绕过 WhatsApp 的加密和安全措施。 攻击设置 对于本文，我们
继续阅读更新第五章：ASAN原理解析 | 系统0day安全-二进制漏洞攻防（第4期）
更新第五章：ASAN原理解析 | 系统0day安全-二进制漏洞攻防（第4期） 小雪 看雪学苑 2025-04-15 18:01 更新：第五章：ASAN原理解析 5.1 开源asanhttps://www.kanxue.com/book-193-5339.htm 二进制漏洞，作为黑客攻击的一把利刃，其威胁不容小觑。它们潜藏在软件的底层代码中，一旦被利用，可能导致数据泄露、系统崩溃，甚至更严重的安全事
继续阅读360漏洞情报月报2025年03期 | 漏洞总量持续高位运行，核心系统威胁加剧
360漏洞情报月报2025年03期 | 漏洞总量持续高位运行，核心系统威胁加剧 360漏洞云 2025-04-15 10:09 近日，360漏洞云情报平台发布2025年3月漏洞情报月报，综合分析当月全网漏洞安全态势，人工深度研判分析重点预警漏洞，并披露多起具有战略价值的网络安全事件。本文特摘录核心内容，为政企机构提供防御参考。 月报数据显示， 2025年3月全网捕获漏洞4279例，较2024年同期
继续阅读一次就学会网络钓鱼“骚”姿势
一次就学会网络钓鱼“骚”姿势 obse**** 菜鸟学信安 2025-04-15 00:30 作者： obse**** 转载于先知社区：https://xz.aliyun.com/news/12128 一、什么是网络钓鱼 网络钓鱼是通过伪造银行或其他知名机构向他人发送垃圾邮件，意图引诱收信人给出敏感信息(如用户名、口令、帐号 ID 、 ATM PIN 码或信用卡详细信息)的一种攻击方式。 二、网络
继续阅读基于ESP8266水质检测 （MQTT上报小程序和HA）
基于ESP8266水质检测 （MQTT上报小程序和HA） 原创 大表哥吆 kali笔记 2025-04-15 00:00 在前面的文章中，我们讲到了基于Arduino读取水质传感器的数据。详情可以阅读历史文章。 但由于Arduino的限制，无法将数据上传至网络。因此，本文为大家带来基于Esp8266配置水质传感器进行数据上报。 准备 Esp8266 水质传感器 MQTT服务器 线路连接 VCC &
继续阅读如何发现AI chatbot 中的RCE
如何发现AI chatbot 中的RCE 原创 漏洞集萃 漏洞集萃 2025-04-14 22:59 引言 近年来，AI聊天机器人凭借其高效的客户服务、增强的用户互动以及简化的业务运营，迅速在各行各业中流行起来。这些智能系统依托复杂的算法和自然语言处理技术，与用户实现无缝交互。然而，与所有软件一样，它们也无法完全免疫安全漏洞的威胁。 背景故事：发现的起点 目标平台是一个功能强大的业务管理平台，集成
继续阅读思科设备曝出七年旧漏洞 攻击者可远程执行代码
思科设备曝出七年旧漏洞 攻击者可远程执行代码 FreeBuf 2025-04-14 11:15 思科网络设备中存在一个长达七年的安全漏洞，至今仍对未打补丁的系统构成重大风险，攻击者可利用该漏洞远程执行代码。 该漏洞编号为CVE-2018-0171，最初于2018年发现，针对思科的Smart Install（智能安装）功能。该功能是一种即插即用配置工具，旨在简化网络设备部署。 尽管漏洞年代久远，但最
继续阅读