iMessage 零点击漏洞针对美国和欧盟的关键人物
iMessage 零点击漏洞针对美国和欧盟的关键人物 会杀毒的单反狗 军哥网络安全读报 2025-06-07 01:00 导读 移动 EDR 安全平台iVerify 的研究人员发现一个 iMessage 零点击漏洞，该漏洞被利用来针对美国和欧盟的高价值目标（包括政治人物、媒体专业人士和人工智能公司的高管）进行有针对性的攻击。 该漏洞名为 NICKNAME，可在无需任何用户交互的情况下入侵 iP
继续阅读标签： RCE
高通GPU漏洞威胁安卓生态，撞库攻击致北面资料外泄|一周特辑
高通GPU漏洞威胁安卓生态，撞库攻击致北面资料外泄|一周特辑 威努特安全网络 2025-06-06 23:59 高通紧急修补Adreno GPU高危漏洞 安卓用户面临针对性攻击风险 移动芯片巨头高通公司近日发布紧急安全补丁，修复其Adreno GPU驱动程序中的 三个关键0day漏洞（编号：CVE-2025-21479、CVE-2025-21480、CVE-2025-27038）。这些漏洞正被攻击
继续阅读Redis漏洞分析，ACL篇
Redis漏洞分析，ACL篇 fuxxcss 看雪学苑 2025-06-06 09:59 Redis是一个开源的高性能内存数据库，并且开启了安全策略，针对8.0.x\7.4.x、7.2.x和6.2.x及以上版本的Redis漏洞进行公开披露[1]。 《Redis漏洞分析》对其中的Moderate、High级别漏洞进行分析，同时根据Redis的攻击面进行分篇，本篇是ACL篇。 分析流程 对Redis漏
继续阅读警惕，恶意伪装缓存插件窃取WordPress管理员凭证；VMware NSX发现多个XSS漏洞，攻击者可注入恶意代码 | 牛览
警惕，恶意伪装缓存插件窃取WordPress管理员凭证；VMware NSX发现多个XSS漏洞，攻击者可注入恶意代码 | 牛览 安全牛 2025-06-06 09:04 新闻速览 •因隐私和安全违规，Vodafone在德国被处以5140万美元罚款 •Passion.io数据库泄露导致360万创作者信息遭曝光 •全球3.5万台太阳能设备管理界面暴露于互联网，引发安全隐患 •新型AMOS恶意软件通过伪
继续阅读用 IRify 深入探索 WebShell 中的 Source/Sink 挖掘
用 IRify 深入探索 WebShell 中的 Source/Sink 挖掘 原创 YAK Yak Project 2025-06-06 09:00 ?()表达式： 在之前的规则中，常常会像下面这样写。 __GET as $source aa(* #{include: <<<CODE * & $source CODE}-> as $sink) 比较诟病的是，这样找
继续阅读【数字风险警示】从0-Click漏洞到AI“失控”：我们如何应对新兴网络威胁与治理挑战？
【数字风险警示】从0-Click漏洞到AI“失控”：我们如何应对新兴网络威胁与治理挑战？ 原创 Hankzheng 技术修道场 2025-06-06 09:00 本周的网络安全动态不仅揭示了传统软件漏洞的持续威胁，更将一些新兴技术带来的未知风险和全球性的网络治理难题摆在了我们面前。从关键软件的0-day/N-day漏洞被积极利用，到AI模型的行为异常，再到各国政府在数据安全与隐私保护方面的政策调整
继续阅读SBOM风险预警 | pino系列投毒包开展敏感数据窃取及远程代码执行攻击
SBOM风险预警 | pino系列投毒包开展敏感数据窃取及远程代码执行攻击 原创 悬镜安全情报中心 悬镜安全 2025-06-06 08:02 SBOM情报概述 Summary 近期（2025.04~2025.06），悬镜供应链安全情报中心在NPM官方仓库中连续捕获近40起伪装成高下载量知名日志库pino的包投毒事件，该系列投毒的特点是通过代码克隆pino项目完整源码，并篡改pino模块主入口文件
继续阅读2025攻防演练必修高危漏洞集合（3.0版）
2025攻防演练必修高危漏洞集合（3.0版） 斗象智能安全 2025-06-06 05:36 高危风险漏洞一直是企业网络安全防护的薄弱点，也成为HW攻防演练期间红队的重要突破口；每年HW期间爆发了大量的高危风险漏洞成为红队突破网络边界防护的一把利器，很多企业因为这些高危漏洞而导致整个防御体系被突破、甚至靶标失守而遗憾出局。 攻防演练在即，斗象XVI扩展漏洞情报依托漏洞盒子的实时海量漏洞数据、白帽社
继续阅读CVE-2025-30397 PoC
CVE-2025-30397 PoC 骨哥说事 骨哥说事 2025-06-06 02:58 声明：文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由用户承担全部法律及连带责任，文章作者不承担任何法律及连带责任。 ****# 防走失：https://gugesay.com/ 通过 JScript.dll 中的 Use-After-Free 实现 RCE（CVE
继续阅读谷歌称黑客利用修改版Salesforce应用窃取数据并勒索公司
谷歌称黑客利用修改版Salesforce应用窃取数据并勒索公司 SOC 赛欧思安全研究实验室 2025-06-06 02:49 – 新型恶意软件攻击利用恶意 Chrome 浏览器和 Edge 扩展程序窃取敏感数据 来自 Positive Technologies 安全专家中心的网络安全专家发现了一个名为 “Phantom Enigma”的复杂恶意活动，该活动主要
继续阅读基于反序列化漏洞，通过 Sharp4ViewStateShell 执行命令实现权限维持
基于反序列化漏洞，通过 Sharp4ViewStateShell 执行命令实现权限维持 原创 专攻.NET安全的 dotNet安全矩阵 2025-06-06 02:37 在红队中持久化访问权限是关键环节之一，Sharp4ViewStateShell.exe 是一款专门为.NET Web站点设计的权限维持工具，其核心思想是通过配置自定义的 MachineKey ，结合 .NET 的 ViewSta
继续阅读【成功复现】Meteobridge命令执行漏洞(CVE-2025-4008)
【成功复现】Meteobridge命令执行漏洞(CVE-2025-4008) 原创 弥天安全实验室 弥天安全实验室 2025-06-06 00:46 网安引领时代，弥天点亮未来 0x00写在前面 本次测试仅供学习使用，如若非法他用，与平台和本文作者无关，需自行负责！ 0x01漏洞介绍 Meteobridge是Meteobridge公司的一款小型设备，可将个人气象站连接到公共气象网络。 Mete
继续阅读CVE-2024-4956 Nexus Repository 3 路径遍历漏洞
CVE-2024-4956 Nexus Repository 3 路径遍历漏洞 海狼风暴团队 2025-06-05 09:43 漏洞简述 Nexus Repository 3 在处理用户提供的路径时存在缺陷，仅依赖 Jetty 的基础验证，未进行严格的安全检查。攻击者可构造恶意 URL 进行路径遍历，访问系统上的任意文件。 受影响版本 Nexus Repository 3.0.0 –
继续阅读谷歌披露威胁组织攻击方式：伪造Salesforce数据加载器实施钓鱼攻击
谷歌披露威胁组织攻击方式：伪造Salesforce数据加载器实施钓鱼攻击 邑安科技 邑安全 2025-06-05 09:30 更多全球网络安全资讯尽在邑安全 谷歌近日披露了一个以经济利益为动机的威胁组织UNC6040的详细情况。该组织专门通过语音钓鱼（vishing）攻击入侵企业的Salesforce系统，实施大规模数据窃取和后续勒索活动。 冒充IT支持人员的社交工程攻击 谷歌威胁情报团队追踪发现
继续阅读【已复现】DataEase 远程代码执行漏洞（CVE-2025-49002、CVE-2025-49001）
【已复现】DataEase 远程代码执行漏洞（CVE-2025-49002、CVE-2025-49001） 长亭安全应急响应中心 2025-06-05 08:06 DataEase是一个开源的数据可视化分析工具。用于帮助用户快速分析数据并洞察业务趋势，从而实现业务的改进与优化。 2025年6月， 互联网 公开 披露 DataEase 存在多个高危漏洞（CVE-2025-48999、CVE-2025
继续阅读Roundcube ≤ 1.6.10 通过 PHP 对象反序列化进行身份验证后 RCE
Roundcube ≤ 1.6.10 通过 PHP 对象反序列化进行身份验证后 RCE Ots安全 2025-06-05 07:58 2025年6月5日，网络安全研究人员Kirill Firsov披露了Roundcube webmail（版本1.1.0至1.6.10）中的一个严重远程代码执行（RCE）漏洞，编号CVE-2025-49113。该漏洞源于PHP对象反序列化机制中的缺陷，存在于Round
继续阅读创宇安全智脑 | Cisco IOS XE 任意文件上传（CVE-2025-20188）等81个漏洞可检测
创宇安全智脑 | Cisco IOS XE 任意文件上传（CVE-2025-20188）等81个漏洞可检测 原创 创宇安全智脑 创宇安全智脑 2025-06-05 07:51 创宇安全智脑 是基于知道创宇17年来AI+安全大数据在真实攻防场景中的经验积累构建的下一代全场景安全智能算力平台。平台拥有海量真实攻防数据和安全大数据持续生产能力；结合面向多个实战场景的AI智能模型，持续汇聚、萃取和分析，实
继续阅读微步情报局发现DataEase存在多个高危漏洞，可实现RCE
微步情报局发现DataEase存在多个高危漏洞，可实现RCE 原创 微步情报局 微步在线研究响应中心 2025-06-05 03:30 漏洞概况 DataEase 是一款开源的数据可视化分析工具，旨在帮助用户快速分析数据、洞察业务趋势，从而支持业务改进和优化。 微步情报局挖掘到DataEase 多个高危漏洞，包括CVE-2025-48999，CVE-2025-49001，CVE-2025-4900
继续阅读spring内存马-Interceptor构造
spring内存马-Interceptor构造 轩公子谈技术 2025-06-05 01:53 spring内存马-Interceptor构造 环境搭建 方便调试代码，创建一个自定义的 Interceptor筛选器 import org.springframework.web.bind.annotation.*; import org.springframework.web
继续阅读HVV护网行动 | 分享最近攻防演练HVV漏洞复盘
HVV护网行动 | 分享最近攻防演练HVV漏洞复盘 安小圈 2025-06-05 00:46 安小圈 第680期 – HW必备：50个应急响应常用命令速查手册一（实战收藏） HW必备：50个应急响应常用命令速查手册二（实战收藏） 网络安全领域各种资源，EDUSRC证书站挖掘、红蓝攻防、渗透测试等优质文章，以及工具分享、前沿信息分享、POC、EXP分享。 不定期分享各种好玩的项目及好用的
继续阅读最新xxl-job综合漏洞检测利用工具|漏洞探测
最新xxl-job综合漏洞检测利用工具|漏洞探测 pureqh 渗透安全HackTwo 2025-06-04 16:01 0x01 工具介绍 xxl-job-attack 是一个用于检测和利用 XXL-JOB 系统漏洞的综合工具。该工具可以检测默认口令、未授权的Hessian反序列化漏洞、Executor未授权命令执行漏洞和默认accessToken身份绕过等问题。它支持通过内存马（如冰蝎Fil
继续阅读Vul情报 | CVE-2025-4123 漏洞（附EXP）
Vul情报 | CVE-2025-4123 漏洞（附EXP） 渗透Xiao白帽 2025-06-04 14:34 网安引领时代，弥天点亮未来 0x00写在前面 本次测试仅供学习使用，如若非法他用，与平台和本文作者无关，需自行负责！ 0x01漏洞介绍 Grafana是Grafana开源的一套提供可视化监控界面的开源监控工具。该工具主要用于监控和分析Graphite、InfluxDB和Promet
继续阅读【新安全事件】vBulletin 远程代码执行漏洞(CVE-2025-48827)安全风险通告
【新安全事件】vBulletin 远程代码执行漏洞(CVE-2025-48827)安全风险通告 奇安信 CERT 2025-06-04 10:53 ● 点击↑蓝字关注我们，获取更多安全风险通告 漏洞概述 漏洞名称 vBulletin 远程代码执行漏洞 漏洞编号 QVD-2025-21254,CVE-2025-48827 公开时间 2025-05-27 影响量级 万级 奇安信评级 高危 CVSS
继续阅读慧与：注意这个严重的 StoreOnce 认证绕过漏洞
慧与：注意这个严重的 StoreOnce 认证绕过漏洞 Bill Toulas 代码卫士 2025-06-04 10:41 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 慧与 (HPE) 发布安全通告提醒称，基于磁盘的备份和冗余数据删除解决方案StoreOnce 中存在8个漏洞，其中最严重的是一个认证绕过漏洞CVE-2025-37093（CVSS 评分9.8），其余漏洞是四个RCE漏洞、两
继续阅读llama_Index SQL注入漏洞（CVE-2025-1750）POC及本地复现部署环境
llama_Index SQL注入漏洞（CVE-2025-1750）POC及本地复现部署环境 原创 a1batr0ss 天翁安全 2025-06-04 10:00 免责声明： 本公众号所发布的全部内容，包括但不限于技术文章、POC脚本、漏洞利用工具及相关测试环境，均仅限于合法的网络安全学习、研究和教学用途。所有人在使用上述内容时，应严格遵守中华人民共和国相关法律法规以及道德伦理要求。未经明确的官方
继续阅读Solon框架模板漏洞深度剖析与修复实战
Solon框架模板漏洞深度剖析与修复实战 原创 标准云 蚁景网络安全 2025-06-04 09:50 前言 分析发现 Solon 框架在3.1.0版本上存在一个有意思的模板漏洞，对这个漏洞进行简单分析后，发现整个漏洞的利用链是非常有意思的。同时发现最新版的修复方式过于简单，询问 AI 后，AI 也认为修复也是不完善的安全修复，于是进行一系列的绕过尝试，最后还是没有利用成功，简单进行分享。 环境搭
继续阅读Nacos漏洞实战攻防
Nacos漏洞实战攻防 稻草人 玄武盾网络技术实验室 2025-06-04 08:16 nacos介绍 Nacos 开放的端口 资产收集 下面可以看到icon图标，除了开始我们上面的一种，下面还有好几个,可以点击ico图标进一步扩大信息收集面 针对fofa总结语法： app=”nacos” && port=”8848″ || icon
继续阅读【漏洞通告】Google Chrome V8引擎越界读写漏洞(CVE-2025-5419)
【漏洞通告】Google Chrome V8引擎越界读写漏洞(CVE-2025-5419) 启明星辰安全简讯 2025-06-04 07:24 一、漏洞概述 漏洞名称 Google Chrome V8引擎越界读写漏洞 CVE ID CVE-2025-5419 漏洞类型 越界读写 发现时间 2025-06-04 漏洞评分 8.8 漏洞等级 高危 攻击向量 网络 所需权限 不需要 利用难度 低 用户交
继续阅读某园区0day代码审计
某园区0day代码审计 进击安全 2025-06-04 06:47 1、权限绕过 1.1、方法一 这里看spring-mvc 的配置，找到SpringMVC 拦截器 跟进拦截器，主要看看拦截规则写的什么，判断地址是否为白名单，如果部位白名单进入到 if (session.getAttribute(“sessional_user“) == null) { 循环中 白名单地址为
继续阅读