标签： SQL注入

【渗透实战系列】|54-小程序渗透记录 通过细节挖掘漏洞的艺术

发布于 作者:

【渗透实战系列】|54-小程序渗透记录 通过细节挖掘漏洞的艺术 一天要喝八杯水 Hacking黑白红 2025-05-21 08:29 原文于：https://forum.butian.net/share/4229 原文作者：一天要喝八杯水 奇怪安信攻防社区 如侵权请联系删除。 目录： 一、低价享受高价 二、0元购思路 三、输出点思考 四、全站收货地址泄露   简单的0元 五、%模糊查询配合siz

继续阅读

信息安全漏洞周报（2025年第20期）

发布于 作者:

信息安全漏洞周报（2025年第20期） 原创 CNNVD CNNVD安全动态 2025-05-21 07:41 点击蓝字 关注我们 漏洞情况 根据国家信息安全漏洞库（CNNVD）统计，本周（2025年5月12日至2025年5月18日）安全漏洞情况如下： 公开漏洞情况 本周CNNVD采集安全漏洞1118个。 接报漏洞情况 本周CNNVD接报漏洞11529个，其中信息技术产品漏洞（通用型漏洞）378个

继续阅读

漏洞预警 美特CRM mcc_login.jsp SQL注入漏洞

发布于 作者:

漏洞预警 美特CRM mcc_login.jsp SQL注入漏洞 by 融云安全-cas 融云攻防实验室 2025-05-21 01:55 0x01 阅读须知 融云安全的技术文章仅供参考，此文所提供的信息只为网络安全人员对自己所负责的网站、服务器等（包括但不限于）进行检测或维护参考，未经授权请勿利用文章中的技术资料对任何计算机系统进行入侵操作。利用此文所提供的信息而造成的直接或间接后果和损失，均由

继续阅读

俄 APT 组织利用0day漏洞和擦除器加强对欧洲的攻击

发布于 作者:

俄 APT 组织利用0day漏洞和擦除器加强对欧洲的攻击 会杀毒的单反狗 军哥网络安全读报 2025-05-21 01:01 导读 ESET 表示，2024 年底和 2025 年初，俄罗斯黑客组织的恶意网络活动强度增强。 ESET Research在其《2024 年第四季度至 2025 年第一季度APT 活动报告》中记录了 2024 年 10 月至 2025 年 3 月期间全球主要 APT 组织的

继续阅读

30个云安全漏洞的发现与利用技巧，非常有用！

发布于 作者:

30个云安全漏洞的发现与利用技巧，非常有用！ 原创 牛叫瘦 HACK之道 2025-05-21 00:03 云计算已成为企业数字化转型的核心基础设施，但其复杂性和开放性也带来了前所未有的安全挑战。作为渗透测试从业者，我们需深入理解云环境的脆弱点，并掌握针对性的发现与利用技术。以下从配置错误、身份管理、数据安全、API滥用、供应链攻击 等维度，结合实战经验，总结30个关键漏洞及应对技巧，仅供参考。

继续阅读

漏洞预警 | NetMizer日志管理系统SQL注入漏洞

发布于 作者:

漏洞预警 | NetMizer日志管理系统SQL注入漏洞 浅安 浅安安全 2025-05-21 00:01 0x00 漏洞编号 – # 暂无 0x01 危险等级 – 高危 0x02 漏洞概述 NetMizer日志管理系统是一款可以记录流经设备的所有会话日志并将其传送到外部的管理中心上的系统。 0x03 漏洞详情 漏洞类型： SQL注入 影响： 获取敏感信息 简述： NetM

继续阅读

漏洞预警 | Optilink管理系统注入漏洞

发布于 作者:

漏洞预警 | Optilink管理系统注入漏洞 浅安 浅安安全 2025-05-21 00:01 0x00 漏洞编号 – # 暂无 0x01 危险等级 – 高危 0x02 漏洞概述 Optilink管理系统是一款基于现代通信技术，用于对不同领域的设备、生产流程或环境进行实时监控、数据可视化以及远程控制，以实现优化管理和提高效率等功能的软件系统。 0x03 漏洞详情 漏洞类型

继续阅读

2025 HVV必修高危漏洞集合

发布于 作者:

2025 HVV必修高危漏洞集合 计算机与网络安全 2025-05-20 23:57 本次高危漏洞自查列表 漏洞名称 漏洞类型 所属厂商 影响版本 用友 NC FsConsoleService SQL 注入漏洞 SQL 注入漏洞 用友 NC633 NC65 NCC1811 NCC1903 NCC1909 NCC2005 Ingress NGINX 未授权 远程代码执行漏洞 远程代码执行漏洞 NGI

继续阅读

商用漏洞扫描器的盲区：为什么越权漏洞总被漏检？

发布于 作者:

商用漏洞扫描器的盲区：为什么越权漏洞总被漏检？ 原创 筑梦网安 全栈安全 2025-05-20 16:04 导语： 2021年某电商平台曝出重大越权漏洞，黑客可任意查看用户订单，然而该漏洞在全年12次系统扫描中均未被发现。这背后折射出商用扫描工具的最大盲区——越权漏洞检测。本文将会解析这一安全困境的技术本质。 一、越权漏洞：权限体系的”万能钥匙” 漏洞原理 ： &#8211

继续阅读

Apache IoTDB 需授权 代码注入漏洞

发布于 作者:

Apache IoTDB 需授权 代码注入漏洞 上汽集团网络安全应急响应中心 2025-05-20 15:55 漏洞情报 Apache IoTDB 需授权 代码注入漏洞 【 漏洞编号 】 CVE-2024-24780,CNNVD-202505-2026 【 情报等级 】 高危 【 漏洞描述 】 Apache IoTDB是美国阿帕奇（Apache）基金会的一款为时间序列数据设计的集成数据管理引擎，它

继续阅读

Mongoose 搜索注入漏洞复现与修复

发布于 作者:

Mongoose 搜索注入漏洞复现与修复 蚁景网安 2025-05-20 08:31 漏洞简介 CVE-2024-53900  Mongoose 8.8.3、7.8.3 和 6.13.5 之前的版本容易受到 $where 运算符不当使用的影响。此漏洞源于 $where 子句能够在 MongoDB 查询中执行任意 JavaScript 代码，这可能导致代码注入攻击以及未经授权的数据库数据访问或操纵。

继续阅读

CNVD漏洞周报2025年第18期

发布于 作者:

CNVD漏洞周报2025年第18期 国家互联网应急中心CNCERT 2025-05-20 02:02 2 0 2 5 年 0 5 月1 2 日 – 2 0 2 5 年 0 5 月18 日 本周漏洞态势研判情况 本 周 信 息 安 全 漏 洞 威 胁 整 体 评 价 级 别 为中 。 国家信息安全漏洞共享平台（以下简称CNVD）本周共收集、整理信息安全漏洞 363个，其中高危漏洞181个

继续阅读

CNVD漏洞周报2025年第18期

发布于 作者:

CNVD漏洞周报2025年第18期 国家互联网应急中心CNCERT 2025-05-20 02:02 2 0 2 5 年 0 5 月1 2 日 – 2 0 2 5 年 0 5 月18 日 本周漏洞态势研判情况 本 周 信 息 安 全 漏 洞 威 胁 整 体 评 价 级 别 为中 。 国家信息安全漏洞共享平台（以下简称CNVD）本周共收集、整理信息安全漏洞 363个，其中高危漏洞181个

继续阅读

高危WordPress插件漏洞威胁超1万个网站安全

发布于 作者:

高危WordPress插件漏洞威胁超1万个网站安全 黑白之道 2025-05-20 01:59 漏洞概述 热门WordPress插件Eventin近日曝出严重权限提升漏洞（CVE-2025-47539），导致超过10,000个网站面临完全被控制的风险。该漏洞允许未认证攻击者无需用户交互即可创建管理员账户，从而完全掌控受影响网站。安全研究人员强烈建议用户立即升级至4.0.27版本，该版本已包含针对此

继续阅读

CNVD-2023-04620 金和 OA XXE 漏洞分析复现

发布于 作者:

CNVD-2023-04620 金和 OA XXE 漏洞分析复现 原创 private null 轩公子谈技术 2025-05-20 01:44 文章首发于 奇安信攻防社区 参与的众测项目，资产非常难挖掘漏洞，所以只能通过审计的方式，找找漏洞点 资产里相对用的多的 oa，都是用友，泛微，致远等大型 oa，对我这种小菜来说，直接上手有点难度，无意间发现了金和系统，就直接来审计学学，刚开始找网盘资料，

继续阅读

若依4.8.0后台rce漏洞复现及内存马利用

发布于 作者:

若依4.8.0后台rce漏洞复现及内存马利用 原创 跟着斯叔唠安全 跟着斯叔唠安全 2025-05-20 00:00 免责声明 ： 请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果与文章作者无关。该文章仅供学习用途使用。 1 Start 前段时间先知（ https://xz.aliyun.co

继续阅读

原创—中国乃至世界进入后门时代，挖漏洞该怎么挖

发布于 作者:

原创—中国乃至世界进入后门时代，挖漏洞该怎么挖 原创 酷帥王子 秦国商鞅 2025-05-19 15:38 中国人不要在隐形的硬性东西找漏洞着重找后门漏洞，现在好多github,docker仓库知名境外软件都有后门就连英伟达显卡和Amd驱动都有后门，amd是驱动级隐藏上次被360卫士报毒被我定位到，包括微软office也有后门被我定位到，微软office他是根据同ip,同ip下用了微软offcie

继续阅读

Firefox紧急修复两大零日漏洞！Pwn2Own柏林大赛黑客斩获$10万奖金

发布于 作者:

Firefox紧急修复两大零日漏洞！Pwn2Own柏林大赛黑客斩获$10万奖金 原创 道玄安全 道玄网安驿站 2025-05-19 14:26 “  火狐0day。” PS：有内网web自动化需求可以私信 01 — 导语 在刚刚落幕的 Pwn2Own柏林2025 黑客大赛中，Mozilla Firefox浏览器成为焦点——两名安全研究员利用 两个零日漏洞（CVE-2025-4918和CVE-202

继续阅读

【安全圈】glibc漏洞使数百万Linux系统面临代码执行风险

发布于 作者:

【安全圈】glibc漏洞使数百万Linux系统面临代码执行风险 安全圈 2025-05-19 11:01 关键词 安全漏洞 GNU C 库(glibc)中新报告的漏洞,是无数 Linux 应用程序的基本组成部分,它详细介绍了静态 setuid 二进制文件的共享库加载机制中可能可利用的弱点。 跟踪为 CVE-2025-4802,environment该漏洞源于静态 setuid 二进制文件在通过 d

继续阅读

英特尔CPU曝重大安全漏洞，可导致内存泄露；美国议员以安全为借口呼吁禁售TP-Link网络设备| 牛览

发布于 作者:

英特尔CPU曝重大安全漏洞，可导致内存泄露；美国议员以安全为借口呼吁禁售TP-Link网络设备| 牛览 安全牛 2025-05-19 10:41 新闻速览 •工信部等九部门联合印发《关于加快推进科技服务业高质量发展的实施意见》 •《数字中国建设2025年行动方案》近日印发 •美国议员以安全为借口呼吁禁售TP-Link网络设备 •网安工程师变身勒索黑客：利用AI技术攻击企业系统获刑 •黑客因攻击SE

继续阅读

每周网安资讯 （5.13-5.19）| Siemens SIMATIC PCS neo漏洞预警

发布于 作者:

每周网安资讯 （5.13-5.19）| Siemens SIMATIC PCS neo漏洞预警 交大捷普 2025-05-19 10:14 2025[ 每周网安资讯 ]5.13-5.19 网安资讯 1、国家信息中心牵头编制的国家标准《数据安全技术 政务数据处理安全要求》正式发布 近日，《数据安全技术 政务数据处理安全要求》（GB/T 45396-2025）经国家市场监督管理总局、国家标准化管理委员

继续阅读

【漏洞挖掘案例】从XSS到”RCE”的PC端利用链构建

发布于 作者:

【漏洞挖掘案例】从XSS到”RCE”的PC端利用链构建 The One安全 2025-05-19 08:36 前言 先铺垫一下。笔者有一个习惯，懒得记各种命令和payload，手工渗透测试时，遇到比较长的payload的情况下，不想一个一个地去手敲命令，于是我之前就在github上想寻找一个类似于记事本的软件，但是最好和我的记录命令的需求适配，于是就找到了一位师傅写的开源项

继续阅读

​​新型 CPU 漏洞曝光！英特尔芯片陷内存泄露风险

发布于 作者:

​​新型 CPU 漏洞曝光！英特尔芯片陷内存泄露风险 原创 HackerNews 安全威胁纵横 2025-05-19 08:27 研究人员发现新型英特尔CPU漏洞， 影响所有英特尔处理器。 攻击者可利用分支预测机制绕过安全屏障，获取特权进程的机密信息，导致内存敏感数据泄露。 GitHub Action 中广泛使用的 tj-actions/changed-files 被攻破，导致使用 CI/CD 工

继续阅读

雷神众测漏洞周报2025.5.12-2025.5.18

发布于 作者:

雷神众测漏洞周报2025.5.12-2025.5.18 原创 雷神众测 雷神众测 2025-05-19 08:11 摘要 以下内容，均摘自于互联网，由于传播，利用此文所提供的信息而造成的任何直接或间接的后果和损失，均由使用者本人负责，雷神众测以及文章作者不承担任何责任。 雷神众测拥有该文章的修改和解释权。如欲转载或传播此文章，必须保证此文章的副本，包括版权声明等全部内容。声明雷神众测允许，不得任意

继续阅读

英特尔新漏洞：Spectre 和 Meltdown 问题以新面貌重现

发布于 作者:

英特尔新漏洞：Spectre 和 Meltdown 问题以新面貌重现 会杀毒的单反狗 军哥网络安全读报 2025-05-19 01:02 导读 苏黎世联邦理工学院和阿姆斯特丹自由大学的研究人员披露了英特尔处理器中导致内存泄漏和 Spectre v2 攻击的新漏洞。这些发现表明，尽管 Spectre 和 Meltdown 漏洞披露已有七年，但推测指令执行问题仍然构成重大威胁。 研究人员发现了三个关键

继续阅读

【代码审计】命令执行漏洞分析

发布于 作者:

【代码审计】命令执行漏洞分析 Sec探索者 2025-05-19 00:52 点击上方蓝字关注我们 请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，作者不为此承担任何责任。如有侵权烦请告知，我们会立即删除并致歉。谢谢！ 01 漏洞简介 在Java代码审计中，命令执行漏洞指应用程序未对用户输入进行严格过滤，直接将外部可控参

继续阅读

一个漏洞挖掘小工具 – SeeMore

发布于 作者:

一个漏洞挖掘小工具 – SeeMore Bbdolt 安全洞察知识图谱 2025-05-19 00:29 免责声明  由于传播、利用本公众号所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号安全洞察知识图谱及作者不为此 承担任何责任，一旦造成后果请自行承担！如有侵权烦请告知，我们会立即删除并致歉。谢谢！ 1工具介绍 1、在某系统发现在导入文件时，文件内容没有进

继续阅读