泛微Ecology后台远程代码执行漏洞风险通告
泛微Ecology后台远程代码执行漏洞风险通告 赛博昆仑CERT 2025-04-14 11:02 赛博昆仑漏洞 安全风险通告 泛微Ecology后台远程代码执行漏洞风险通告 漏洞描述 泛微协同管理应用平台(e-cology)是一套兼具企业信息门户、知识文档管理、工作流程管理、人力资源管理、客户关系管理、项目管理、财务管理、资产管理、供应链管理、数据中心功能的企业大型协同管理平台，形成了一系列的通
继续阅读标签： EXP
【已复现】泛微e-cology 前台SQL注入漏洞
【已复现】泛微e-cology 前台SQL注入漏洞 长亭安全应急响应中心 2025-04-14 10:02 泛微e-cology是一款由泛微网络科技开发的协同管理平台，支持人力资源、财务、行政等多功能管理和移动办公。2025年4月，泛微官方发布了新补丁，修复了一处 SQL 注入漏洞。经分析，攻击者无需认证即可利用该漏洞，建议受影响的客户尽快修复漏洞。 漏洞描述 Description 01 漏洞成
继续阅读你知道JWT漏洞如何进行攻击利用吗？
你知道JWT漏洞如何进行攻击利用吗？ 原创 夜风Sec 夜风Sec 2025-04-14 09:55 JWT攻击 研究 JSON Web 令牌 (JWT) 的设计问题和处理缺陷如何导致网站容易受到各种高严重性攻击。由于 JWT 最常用于身份验证、会话管理和访问控制机制，这些漏洞可能会危及整个网站及其用户。 jwt-00 什么是JWT？ JSON Web 令牌 (JWT) 是一种在系统之间发送加密签
继续阅读高危！Vite任意文件读取漏洞安全风险通告
高危！Vite任意文件读取漏洞安全风险通告 应急响应中心 亚信安全 2025-04-14 09:54 近日，亚信安全CERT监控到安全社区研究人员发布安全通告，Vite存在一个任意文件读取漏洞，编号为 CVE-2025-31486。由于Vite在处理特定URL请求时缺少对路径的安全检查，这导致攻击者可以通过构造特定的 URL 请求绕过服务器的保护机制，非法访问敏感文件。 目前官方已发布安全更新，亚
继续阅读安全热点周报：PipeMagic 木马利用 Windows 零日漏洞部署勒索软件
安全热点周报：PipeMagic 木马利用 Windows 零日漏洞部署勒索软件 奇安信 CERT 2025-04-14 09:15 安全资讯导视 • 《数据安全技术 政务数据处理安全要求》等6项网络安全国家标准发布 • 摩洛哥国家社保基金遭网络攻击，近200万民众敏感数据或泄露 • 美国工业传感器上市公司森萨塔遭勒索攻击，生产运营被迫中断 PART01 漏洞情报 1.Foxmail for W
继续阅读CVE-2021-31956 Windows 内核漏洞（NTFS 与 WNF）利用 —— 第二部分
CVE-2021-31956 Windows 内核漏洞（NTFS 与 WNF）利用 —— 第二部分 Alex Plaskett securitainment 2025-04-14 05:37 【翻译】CVE-2021-31956 Exploiting the Windows Kernel (NTFS with WNF) – Part 2 引言 在 第一部分[1] 中，我们主要讨论了以下内容： &#
继续阅读SpEL表达式漏洞注入内存马
SpEL表达式漏洞注入内存马 原创 暗月大徒弟 moonsec 2025-04-14 04:22 1.实验环境 jdk8 202 springboot 1.3.0.RELEASE 2.漏洞代码 package code.landgrey.controller; import org.springframework.expression.Expression; import org.springf
继续阅读从CVE-2025-30208到CVE-2025-31125再到CVE-2025-31486
从CVE-2025-30208到CVE-2025-31125再到CVE-2025-31486 船山信安 2025-04-13 16:04 最近有花了一些时间看vite任意文件读取相关的一系列漏洞，下面打算以漏洞发现者的视角，讲讲这些漏洞的一些要点 CVE-2025-30208 CVE-2025-30208这个漏洞其实是历史漏洞 CVE-2024-45811 的绕过，在CVE-2024-45811核
继续阅读Zyxel-NBG2105-身份验证绕过-CVE-2021-3297
Zyxel-NBG2105-身份验证绕过-CVE-2021-3297 原创 骇客安全 骇客安全 2025-04-13 06:19 Zyxel-NBG2105-身份验证绕过-CVE-2021-3297 Zyxel NBG2105 身份验证绕过 CVE-2021-3297 漏洞描述 Zyxel NBG2105 存在身份验证绕过，攻击者通过更改 login参数可用实现后台登陆 漏洞影响 Zyxel NB
继续阅读浅谈AI部署场景下的web漏洞
浅谈AI部署场景下的web漏洞 黑白之道 2025-04-13 05:44 文章首发在：奇安信攻防社区 https://forum.butian.net/share/4259 总结了一些部署过程中出现可能的漏洞点位，并且分析了对应的攻防思路 要想知道对应的大模型在本地部署过程中可能存在的漏洞，就要先了解大模型是如何进行本地部署的。这里笔者给出了两个轻量化的解决方案，让大家了解一下一般开发者对大模型
继续阅读从CVE-2025-30208看任意文件读取利用
从CVE-2025-30208看任意文件读取利用 骨哥说事 2025-04-13 05:38 微信公众号：渊龙Sec安全团队 为国之安全而奋斗，为信息安全而发声！ 如有问题或建议，请在公众号后台留言 如果你觉得本文对你有帮助，欢迎在文章底部赞赏我们 0# 概述 师傅们好久不见！最近不是特别忙，就研究研究最新的漏洞 刚好最近一大批漏洞都爆出来了，比如 CVE-2025-1097, CVE-2025-
继续阅读CVE-2021-31956 Windows 内核漏洞（NTFS 与 WNF）利用 —— 第一部分
CVE-2021-31956 Windows 内核漏洞（NTFS 与 WNF）利用 —— 第一部分 Alex Plaskett securitainment 2025-04-13 05:37 【翻译】CVE-2021-31956 Exploiting the Windows Kernel (NTFS with WNF) – Part 1 引言 最近我决定研究 CVE-2021-31956，这是一个
继续阅读Vite import存在任意文件读取漏洞CVE-2025-31125 附POC
Vite import存在任意文件读取漏洞CVE-2025-31125 附POC 2025-4-13更新 南风漏洞复现文库 2025-04-13 01:50 免责声明：请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果与文章作者无关。该文章仅供学习用途使用。 1. Vite简介 微信公众号搜索：
继续阅读警惕！NVIDIA Triton推理服务器整数溢出漏洞曝光：原理、复现与修复全解析
警惕！NVIDIA Triton推理服务器整数溢出漏洞曝光：原理、复现与修复全解析 原创 mag1c7 山石网科安全技术研究院 2025-04-13 01:00 一个小小的整数溢出，竟可能引发整个推理服务的崩溃！ 在当今人工智能飞速发展的时代，推理服务器作为模型部署的关键环节，其安全性至关重要。然而，即使是像NVIDIA Triton Inference Server这样被广泛使用的推理平台，也可
继续阅读Langflow code接口存在远程代码执行漏洞CVE-2025-3248 附POC
Langflow code接口存在远程代码执行漏洞CVE-2025-3248 附POC 2025-4-12更新 南风漏洞复现文库 2025-04-12 15:08 免责声明：请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果与文章作者无关。该文章仅供学习用途使用。 1. Langflow简介 微
继续阅读【漏洞复现】Next.js中间件权限绕过漏洞 CVE-2025-29927
【漏洞复现】Next.js中间件权限绕过漏洞 CVE-2025-29927 原创 仇辉攻防 仇辉攻防 2025-04-12 11:03 什么是Next.js？ Next.js 是由 Vercel 开发的基于 React 的现代 Web 应用框架，具备前后端一体的开发能力，广泛用于开发 Server-side Rendering (SSR) 和静态站点生成（SSG）项目。Next.js 支持传统的
继续阅读Langflow 远程命令执行漏洞(CVE-2025-3248)
Langflow 远程命令执行漏洞(CVE-2025-3248) Superhero Nday Poc 2025-04-12 08:08 内容仅用于学习交流自查使用，由于传播、利用本公众号所提供的 POC 信息及 POC对应脚本 而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号Nday Poc及作者不为此承担任何责任，一旦造成后果请自行承担！ 01 漏洞概述 1.3.0 之前的 L
继续阅读代码审计| 某u8 1day漏洞分析
代码审计| 某u8 1day漏洞分析 原创 莫大130 安全逐梦人 2025-04-12 06:30 1day漏洞分析 hrmobile接口反射类漏洞本来这个漏洞是通过java反射nc.itf.hr.tools.IFileTrans.uploadFile 但是我只复现成功了nc.itf.hr.tools.IFileTrans.downloadFile 代码能力还是差没复现成功 U8cloud系
继续阅读MindshaRE: 使用 Binary Ninja API 检测潜在的 Use-After-Free 漏洞
MindshaRE: 使用 Binary Ninja API 检测潜在的 Use-After-Free 漏洞 Reno Robert securitainment 2025-04-12 05:37 【翻译】MindshaRE Using Binary Ninja API to Detect Potential Use-After-Free Vulnerabilities Use-after-fre
继续阅读【已复现】Vite 文件读取漏洞(CVE-2025-32395)(已经出了四个CVE了！！！！)
【已复现】Vite 文件读取漏洞(CVE-2025-32395)(已经出了四个CVE了！！！！) 原创 安全探索者 安全探索者 2025-04-12 05:06 ↑点击关注，获取更多漏洞预警，技术分享 0x01 组件介绍 Vite 是一款现代化的前端开发构建工具，它提供了快速的开发服务器和高效的构建能力，广泛应用于 Vue.js 项目的开发过程中。 fofa语句： body=”/@v
继续阅读工具集： DahuaExploitGUI【dahua综合漏洞利用工具】
工具集： DahuaExploitGUI【dahua综合漏洞利用工具】 风铃Sec 2025-04-12 02:34 声明：仅用于授权测试，用户滥用造成的一切后果和作者无关 请遵守法律法规！【文末附下载】 🐉工具介绍 dahua综合漏洞利用工具，此项目主要用于在授权情况下对大华系列产品进行漏洞检测。 dahua综合漏洞利用工具 收录漏洞如下： 大华DSS数字监控系统attachment_clear
继续阅读渗透测试-非寻常漏洞案例
渗透测试-非寻常漏洞案例 bcloud 实战安全研究 2025-04-12 02:01 前言 在渗透测试中挖掘到许多不一样的漏洞，在常见的渗透测试案例中非常稀少，即使是SRC中也很少见，这么久也没遇到过几次，所以在这里分享一下，亲身经历挖掘到的其中的几个比较奇奇怪怪的漏洞。 奇异签约漏洞 看过月神的都清楚，签约漏洞的逻辑概念，这里就不多说了，不懂可以去B站看一下月神的课。但是在挖掘的时候，我发现除
继续阅读固件安全的隐忧：UEFI漏洞的持续威胁与修复之路
固件安全的隐忧：UEFI漏洞的持续威胁与修复之路 原创 T10Ng7_7 山石网科安全技术研究院 2025-04-12 01:01 UEFI固件漏洞：为何它们反复出现，又该如何守护我们的设备安全？ 在 数字化时代，设备的安全性是保障用户隐私和数据安全的关键。然而，近期Binarly研究团队对UEFI固件的深入研究[1]揭示了一个令人不安的事实：尽管安全专家们不断努力，但UEFI固件中的漏洞仍然频繁
继续阅读泛微云桥20240725存在未授权文件上传漏洞
泛微云桥20240725存在未授权文件上传漏洞 tj 神农Sec 2025-04-12 01:00 扫码加圈子 获内部资料 网络安全领域各种资源，EDUSRC证书站挖掘、红蓝攻防、渗透测试等优质文章，以及工具分享、前沿信息分享、POC、EXP分享。 不定期分享各种好玩的项目及好用的工具，欢迎关注。加内部圈子，文末有彩蛋（知识星球优惠卷）。 原文链接： https://xz.aliyun.com/n
继续阅读【漏洞通告】Vite 任意文件访问漏洞(CVE-2025-32395)
【漏洞通告】Vite 任意文件访问漏洞(CVE-2025-32395) 启明星辰安全简讯 2025-04-11 16:30 一、漏洞概述 漏洞名称 Vite 任意文件访问漏洞 CVE ID CVE-2025-32395 漏洞类型 信息泄露 发现时间 2025-04-11 漏洞评分 6.0 漏洞等级 中危 攻击向量 网络 所需权限 无 利用难度 低 用户交互 需要 PoC/EXP 已公开 在野利用
继续阅读【已复现】Vite 任意文件读取漏洞（CVE-2025-32395）
【已复现】Vite 任意文件读取漏洞（CVE-2025-32395） 长亭安全应急响应中心 2025-04-11 15:18 Vite 是一个现代化的前端构建工具，旨在提供快速的开发服务器和优化的构建流程，广泛用于开发 JavaScript 和 TypeScript 的 Web 应用程序。2025 年 4 月，Vite 官方发布安全补丁，修复了一个任意文件读取漏洞（CVE-2025-32395）。
继续阅读【已复现】Vite 任意文件读取漏洞(CVE-2025-32395)安全风险通告
【已复现】Vite 任意文件读取漏洞(CVE-2025-32395)安全风险通告 奇安信 CERT 2025-04-11 14:48 ● 点击↑蓝字关注我们，获取更多安全风险通告 漏洞概述 漏洞名称 Vite 任意文件读取漏洞 漏洞编号 QVD-2025-15227,CVE-2025-32395 公开时间 2025-04-10 影响量级 十万级 奇安信评级 高危 CVSS 3.1分数 7.5 威
继续阅读【漏洞复现】帆软报表 /view/ReportServer SQL注入漏洞
【漏洞复现】帆软报表 /view/ReportServer SQL注入漏洞 原创 PumpkinBridge 红细胞安全实验室 2025-04-11 13:57 前言 这里拿到目标站，结合漏扫指纹库可以发现是帆软数据决策系统，需要各位师傅收集系统指纹路径 登录页面 这里可以通过该路径查看当前版本,个别情况根目录可能没有webroot /webroot/dicision/system/info /d
继续阅读