用友U8-Cloud FileServlet接口存在任意文件读取漏洞
用友U8-Cloud FileServlet接口存在任意文件读取漏洞 南风徐来 南风漏洞复现文库 2024-04-01 23:12 免责声明：请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果与文章作者无关。该文章仅供学习用途使用。 1. 用友U8-Cloud简介 微信公众号搜索：南风漏洞复现文
继续阅读标签： EXP
xz-utils后门漏洞 CVE-2024-3094 分析
xz-utils后门漏洞 CVE-2024-3094 分析 360漏洞研究院 360漏洞研究院 2024-04-01 21:08 1 事件背景 3月29日，微软PostgreSQL开发人员Andres Freund在oss-security上公告[1]他发现开源项目xz-utils存在后门漏洞。该项目遭到供应链攻击，项目维护者jiaT75（jia Tan）通过上传二进制测试文件和篡改编译脚本，使得
继续阅读上周关注度较高的产品安全漏洞(20240325-20240331)
上周关注度较高的产品安全漏洞(20240325-20240331) 原创 CNVD CNVD漏洞平台 2024-04-01 17:02 一、境外厂商产品漏洞 1、 Apache Superset资源管理错误漏洞（CNVD-2024-14775） Apache Superset 是美国阿帕奇（ Apache ）基金会的一个数据可视化和数据探索平台。 Apache Superset 2.1.2 及之前
继续阅读谷歌报告显示：2023 年 50% 的0day漏洞利用背后都是间谍软件供应商
谷歌报告显示：2023 年 50% 的0day漏洞利用背后都是间谍软件供应商 网络安全应急技术国家工程中心 2024-04-01 15:49 导读 谷歌威胁分析小组 (TAG) 和谷歌子公司 Mandiant 表示，他们观察到 2023 年攻击中利用的 0day 漏洞数量显着增加，其中许多与间谍软件供应商及其客户有关。 谷歌研究人员周三表示，他们观察到 2023 年有 97 个 0day 漏洞被利
继续阅读【复现】JumpServer 后台模板注入漏洞（CVE-2024-29202）的风险通告
【复现】JumpServer 后台模板注入漏洞（CVE-2024-29202）的风险通告 原创 赛博昆仑CERT 赛博昆仑CERT 2024-04-01 10:56 赛博昆仑漏洞安全通告- JumpServer 后台模板注入漏洞（CVE-2024-29202）的风险通告 漏洞描述 JumpServer 是广受欢迎的开源堡垒机，是符合 4A 规范的专业运维安全审计系统。JumpServer 帮助企
继续阅读【事件描述修正】XZ Utilѕ 工具库恶意后门植入漏洞(CVE-2024-3094)安全风险通告
【事件描述修正】XZ Utilѕ 工具库恶意后门植入漏洞(CVE-2024-3094)安全风险通告 奇安信 CERT 2024-04-01 00:01 ● 点击↑蓝字关注我们，获取更多安全风险通告 漏洞概述 漏洞名称 XZ Utilѕ 工具库恶意后门植入漏洞 漏洞编号 QVD-2024-11691,CVE-2024-3094 公开时间 2024-03-29 影响量级 万级 奇安信评级 高危 CV
继续阅读XZ Utilѕ 工具库恶意后门植入漏洞(CVE-2024-3094)安全风险通告
XZ Utilѕ 工具库恶意后门植入漏洞(CVE-2024-3094)安全风险通告 奇安信CERT 代码卫士 2024-03-31 21:49 ● 点击↑蓝字关注我们，获取更多安全风险通告 漏洞概述 漏洞名称 XZ Utilѕ 工具库恶意后门植入漏洞 漏洞编号 QVD-2024-11691,CVE-2024-3094 公开时间 2024-03-29 影响量级 万级 奇安信评级 高危 CVSS 3
继续阅读CVE-2022-2588 Dirty Cred漏洞分析与复现
CVE-2022-2588 Dirty Cred漏洞分析与复现 Arahat0 看雪学苑 2024-03-30 18:00 1. 漏洞简述 ◆漏洞名称：Dirty Cred ◆漏洞编号：CVE-2022-2588 ◆漏洞类型：Double Free ◆漏洞影响：Linux 本地提权 ◆CVSS评分：7.8 ◆基础权限：需要 2. 组件概述 漏洞函数是route4_change() ，用于初始化和替
继续阅读xz xz-utils供应链攻击CVE-2024-3094初步分析
xz xz-utils供应链攻击CVE-2024-3094初步分析 原创 高渐离 落水轩 2024-03-30 15:28 声明 我只是知识的搬运工，本文核心内容均来自于https://www.openwall.com/lists/oss-security/2024/03/29/4。我只是帮忙总结翻译下。 内部并无原创内容 ，不过应该比那些只知道吓人的公众号好点。 影响范围●影响包名：xz, xz
继续阅读【知道创宇404实验室】警惕Linux生态xz-utils软件包被攻击并植入后门（CVE-2024-3094）
【知道创宇404实验室】警惕Linux生态xz-utils软件包被攻击并植入后门（CVE-2024-3094） 404实验室 知道创宇404实验室 2024-03-30 13:43 2024年3月29日，有国外安全人员宣称在xz-utils软件包5.6.0到5.6.1版本中，存在被供应链攻击并植入后门风险（https://www.openwall.com/lists/oss-security/20
继续阅读泛微E-Office10存在phar反序列化漏洞
泛微E-Office10存在phar反序列化漏洞 安恒研究院 安恒信息CERT 2024-03-28 20:39 漏洞概述 漏洞名称 泛微E-Office10存在phar反序列化漏洞 安恒CERT评级 1级 CVSS3.1评分 10.0（安恒自评） CVE编号 未分配 CNVD编号 未分配 CNNVD编号 未分配 安恒CERT编号 WM-202403-000001 POC情况 已发现 EXP情况
继续阅读荔枝课堂 | 在 iPad 上用 PDF Expert 3 看书学习是一种什么体验？
荔枝课堂 | 在 iPad 上用 PDF Expert 3 看书学习是一种什么体验？ 网络空间信息安全学习 2024-03-28 20:10 iPad 屏幕比手机大，又比笔记本电脑轻巧，除了当 泡面盖 以外，用来阅读学习再好不过了。并且搭配 Apple Pencil，可以随意写写画画，相信不少朋友也是出于这点而入手的 iPad 吧。 除了硬件，怎么能少得了一款好用的 PDF Expert 3 阅读
继续阅读【已复现】泛微E-Office10远程代码执行漏洞(QVD-2024-11354)安全风险通告
【已复现】泛微E-Office10远程代码执行漏洞(QVD-2024-11354)安全风险通告 奇安信 CERT 2024-03-28 18:20 ● 点击↑蓝字关注我们，获取更多安全风险通告 漏洞概述 漏洞名称 泛微E-Office10远程代码执行漏洞 漏洞编号 QVD-2024-11354 公开时间 2024-03-27 影响量级 十万级 奇安信评级 高危 CVSS 3.1分数 9.8 威胁
继续阅读CISA称微软 SharePoint RCE 漏洞已遭在野利用
CISA称微软 SharePoint RCE 漏洞已遭在野利用 Sergiu Gatlan 代码卫士 2024-03-28 17:29 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 CISA 提醒称攻击者正在利用微软 SharePoint 代码注入漏洞发动攻击。而组合一个严重的提权漏洞，即可执行预认证RCE攻击。第一个漏洞的编号是CVE-2023-24955，可导致具有Site Owner
继续阅读谷歌修复 Pwn2Own 2024大赛发现的两个 Chrome 0day
谷歌修复 Pwn2Own 2024大赛发现的两个 Chrome 0day Sergiu Gatlan 代码卫士 2024-03-28 17:29 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 本周二，谷歌修复了 Chrome web浏览器中的7个漏洞，其中两个是在 Pwn2Own 2024温哥华大赛中发现。 第一个0day是 CVE-2024-2887，是位于开放标准 WebAssembl
继续阅读创宇安全智脑 | Adobe Coldfusion pms 任意文件读取（CVE-2024-20767）等19个漏洞可检测
创宇安全智脑 | Adobe Coldfusion pms 任意文件读取（CVE-2024-20767）等19个漏洞可检测 原创 创宇安全智脑 创宇安全智脑 2024-03-28 16:48 创宇安全智脑是基于知道创宇16年来AI+安全大数据在真实攻防场景中的经验积累构建的下一代全场景安全智能算力平台。平台拥有海量真实攻防数据和安全大数据持续生产能力；结合面向多个实战场景的AI智能模型，持续汇聚、
继续阅读0328-新型僵尸网络感染全球88个国家/地区-主流AI算力框架漏洞威胁全球数千大模型-印度国防部等机构被黑客打穿
0328-新型僵尸网络感染全球88个国家/地区-主流AI算力框架漏洞威胁全球数千大模型-印度国防部等机构被黑客打穿 网络盾牌 网络盾牌 2024-03-28 16:21 点击上方蓝色文字关注我们 今日全球网安资讯摘要**** 特别关注 新型僵尸网络感染全球88个国家/地区，超6千台华硕路由器遭攻击 主流AI算力框架漏洞威胁全球数千大模型 印度国防部等机构被黑客打穿，泄露 8.8GB 数据 特别关注
继续阅读要闻 | 主流 AI 算力框架漏洞威胁全球数千大模型
要闻 | 主流 AI 算力框架漏洞威胁全球数千大模型 内生安全联盟 2024-03-28 15:37 近日，知名网络安全公司Oligo Security发现人工智能行业主流算力框架Ray的一个未修复安全漏洞正被黑客野外大规模利用，攻击AI工作负载并窃取敏感（生产）数据和算力。 包括亚马逊、Uber、OpenAI等数以千计的人工智能企业受到影响，数百个集群已经遭到攻击，超过10亿美元算力遭到“劫持”
继续阅读主流AI算力框架漏洞威胁全球数千大模型
主流AI算力框架漏洞威胁全球数千大模型 网络安全应急技术国家工程中心 2024-03-28 15:14 近日，知名网络安全公司Oligo Security发现人工智能行业主流算力框架Ray的一个未修复安全漏洞正被黑客野外大规模利用，攻击AI工作负载并窃取敏感（生产）数据和算力。 包括亚马逊、字节跳动、Uber、OpenAI等数以千计的人工智能企业受到影响，数百个集群已经遭到攻击，超过10亿美元算力
继续阅读【漏洞复现】CVE-2023-51385：OpenSSH命令注入
【漏洞复现】CVE-2023-51385：OpenSSH命令注入 原创 fatmo 赛博安全狗 2024-03-28 14:52 免责声明 本文仅用于技术讨论与学习，利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，文章作者及本公众号不为此承担任何责任。 简介 OpenSSH 是 SSH 协议的免费开源实现。 S SH协议族可以用来进行远程控制， 或在计算机之间传送文件
继续阅读剖析复杂漏洞并在 Ichitaro Word 中实现任意代码执行
剖析复杂漏洞并在 Ichitaro Word 中实现任意代码执行 Ots安全 2024-03-28 12:09 1. Cisco Talos 去年披露了 JustSystems 的 Ichitaro 文字处理器中的多个漏洞。这些漏洞非常复杂，是通过广泛的逆向工程发现的。 CVE-2023-35126及其同类（ CVE-2023-34366、 CVE-2023-38127和CVE-2023-3812
继续阅读CVE-2024-27954
CVE-2024-27954 原创 fgz AI与网安 2024-03-28 07:02 免 责 申 明 ：本文内容为学习笔记分享，仅供技术学习参考，请勿用作违法用途，任何个人和组织利用此文所提供的信息而造成的直接或间接后果和损失，均由使用者本人负责，与作者无关！！！ 01 — 漏洞名称 WordPress Automatic 插件任意文件下载和SSRF漏洞 02 — 漏洞影响 WordPress
继续阅读【漏洞预警】Adobe ColdFusion任意文件读取漏洞CVE-2024-20767
【漏洞预警】Adobe ColdFusion任意文件读取漏洞CVE-2024-20767 cexlife 飓风网络安全 2024-03-27 18:39 漏洞描述: Adobe ColdFusion,是一个动态Web服务器,Coldfusion最早是由Allaire公司开发的一种应用服务器平台,其运行的CFML（ColdFusionMarkup Language）针对Web应用的一种脚本语言,文件
继续阅读开源AI框架 Ray 的0day已用于攻陷服务器和劫持资源
开源AI框架 Ray 的0day已用于攻陷服务器和劫持资源 Bill Toulas 代码卫士 2024-03-27 17:14 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 名为 “ShadowRay” 的攻击活动利用热门开源 AI 框架 Ray 中的0day 从数千家公司劫持算力并泄露敏感数据。 Oligo 公司发布报告称，攻击至少始于2023年9月5日，针对的是教育、密币、生物制药等行
继续阅读DSN Injection(CVE-2022-3023)
DSN Injection(CVE-2022-3023) 原创 fatmo i春秋 2024-03-27 17:01 本文是 i春秋论坛签约作家「fatmo」分享的技术文章， 所涉及的内容仅限用于学习和研究目的，不得将正文内容用于商业或者非法用途 ！**** 公众号旨在为大家提供更多的学习方法与技能技巧， 文章仅供学习参考。 fatmo 2年网络安全行业的从业经验，目前做安全开发的工作，擅长恶意代
继续阅读【漏洞通告】Adobe ColdFusion任意文件读取漏洞安全风险通告
【漏洞通告】Adobe ColdFusion任意文件读取漏洞安全风险通告 嘉诚安全 2024-03-27 15:57 漏洞背景 近日，嘉诚安全监测到Adobe ColdFusion发布新版本，修复了一个任意文件读取漏洞， 漏洞编号为：CVE-2024-20767。 Adobe ColdFusion是美国奥多比（Adobe）公司的一套快速应用程序开发平台，包括集成开发环境和脚本语言。 鉴于漏洞危害较
继续阅读超过 28500 台 Exchange 服务器易遭受漏洞攻击
超过 28500 台 Exchange 服务器易遭受漏洞攻击 网络安全应急技术国家工程中心 2024-03-27 15:16 Exchange Server 广泛应用于商业环境中，以促进用户之间的通信和协作，提供电子邮件、日历、联系人管理和任务管理服务。 威胁监控服务Shadowserver宣布，其扫描仪已识别出大约 97000 个潜在易受攻击的服务器。这些 Microsoft Exchange
继续阅读飞企互联-FE企业运营管理平台ShowImageServlet接口存在任意文件读取漏洞
飞企互联-FE企业运营管理平台ShowImageServlet接口存在任意文件读取漏洞 南风徐来 南风漏洞复现文库 2024-03-26 23:11 免责声明：请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果与文章作者无关。该文章仅供学习用途使用。 1. 飞企互联-FE企业运营管理平台简介 微
继续阅读【已复现】Adobe ColdFusion 任意文件读取漏洞(CVE-2024-20767)安全风险通告
【已复现】Adobe ColdFusion 任意文件读取漏洞(CVE-2024-20767)安全风险通告 奇安信 CERT 2024-03-26 19:33 ● 点击↑蓝字关注我们，获取更多安全风险通告 漏洞概述 漏洞名称 Adobe ColdFusion 任意文件读取漏洞 漏洞编号 QVD-2024-9389,CVE-2024-20767 公开时间 2024-03-12 影响量级 十万级 奇安
继续阅读如何使用route-detect在Web应用程序路由中扫描身份认证和授权漏洞
如何使用route-detect在Web应用程序路由中扫描身份认证和授权漏洞 Alpha_h4ck FreeBuf 2024-03-26 18:54 关于route-detect route-detect是一款功能强大的Web应用程序路由安全扫描工具，该工具可以帮助广大研究人员在Web应用程序路由中轻松识别和检测身份认证漏洞和授权漏洞。 Web应用程序HTTP路由中的身份认证（authn）和授权（
继续阅读