你知道JWT漏洞如何进行攻击利用吗？
你知道JWT漏洞如何进行攻击利用吗？ 原创 夜风Sec 夜风Sec 2025-04-14 09:55 JWT攻击 研究 JSON Web 令牌 (JWT) 的设计问题和处理缺陷如何导致网站容易受到各种高严重性攻击。由于 JWT 最常用于身份验证、会话管理和访问控制机制，这些漏洞可能会危及整个网站及其用户。 jwt-00 什么是JWT？ JSON Web 令牌 (JWT) 是一种在系统之间发送加密签
继续阅读标签： SQL注入
雷神众测漏洞周报2025.4.7-2025.4.13
雷神众测漏洞周报2025.4.7-2025.4.13 原创 雷神众测 雷神众测 2025-04-14 09:51 摘要 以下内容，均摘自于互联网，由于传播，利用此文所提供的信息而造成的任何直接或间接的后果和损失，均由使用者本人负责，雷神众测以及文章作者不承担任何责任。 雷神众测拥有该文章的修改和解释权。如欲转载或传播此文章，必须保证此文章的副本，包括版权声明等全部内容。声明雷神众测允许，不得任意修
继续阅读当漏洞攻击遇上腾讯混元超能力：EdgeOne 的 Web 安全赛博决斗
当漏洞攻击遇上腾讯混元超能力：EdgeOne 的 Web 安全赛博决斗 腾讯安全 2025-04-14 09:44 《腾讯云2024年DDoS与应用安全威胁趋势报告》显示，利用漏洞和应用弱点的攻击手段愈发多样化和复杂化，2024年高危漏洞攻击总量超过 17亿次，面对这一严峻挑战，我们应该如何应对？接下来将为您讲解我们的最新尝试——基于大模型的漏洞识别能力，您可以通过托管规则-深度分析功能，率先体验
继续阅读国外：一周网络安全态势回顾之第94期
国外：一周网络安全态势回顾之第94期 原创 铸盾安全 河南等级保护测评 2025-04-14 05:54 以下是本周回顾： 日立能源漏洞 美国CISA发布了两份公告，描述了日立能源产品中的漏洞。一份公告描述了RTU500系列产品中的两个高严重性和两个中等严重性漏洞，这些漏洞可用于发起DoS攻击。第二份公告描述了TRMTracker应用程序中的三个中等严重性漏洞，这些漏洞可导致远程命令执行、Web缓
继续阅读SpEL表达式漏洞注入内存马
SpEL表达式漏洞注入内存马 原创 暗月大徒弟 moonsec 2025-04-14 04:22 1.实验环境 jdk8 202 springboot 1.3.0.RELEASE 2.漏洞代码 package code.landgrey.controller; import org.springframework.expression.Expression; import org.springf
继续阅读工具推荐 | OSS存储桶遍历漏洞自动化利用工具
工具推荐 | OSS存储桶遍历漏洞自动化利用工具 jdr2021 星落安全团队 2025-04-13 16:02 点击上方 蓝字 关注我们 现在只对常读和星标的公众号才展示大图推送，建议大家能把 星落安全团队 “ 设为星标 ”， 否则可能就看不到了啦 ！ 工具介绍 由于经常遇到存储桶遍历漏洞，直接访问文件是下载，不方便预览，且甲方要求证明该存储桶的危害，，因此该工具应运而生。 使用javafx 做
继续阅读CVE-2025-24813：Apache Tomcat 漏洞POC
CVE-2025-24813：Apache Tomcat 漏洞POC z1 Z1sec 2025-04-13 15:15 免责声明： 由于传播、利用本公众号Z1sec所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号及作者不为此承担任何责任，一旦造成后果请自行承担！如有侵权烦请告知，我们会立即删除并致歉。谢谢！ CVE-2025-24813是一个影响Apache Tomc
继续阅读浅谈AI部署场景下的web漏洞
浅谈AI部署场景下的web漏洞 黑白之道 2025-04-13 05:44 文章首发在：奇安信攻防社区 https://forum.butian.net/share/4259 总结了一些部署过程中出现可能的漏洞点位，并且分析了对应的攻防思路 要想知道对应的大模型在本地部署过程中可能存在的漏洞，就要先了解大模型是如何进行本地部署的。这里笔者给出了两个轻量化的解决方案，让大家了解一下一般开发者对大模型
继续阅读实战|SQL注入漏洞
实战|SQL注入漏洞 原创 bcloud 蓝云Sec 2025-04-13 00:13 声明 任何网络安全相关测试均需取得授权，本文章中所有内容仅供学习交流，严禁用于商业用途和非法用途，否则由此产生的一切后果均与文章作者无关！ 前言 一次渗透测试实战中的SQL注入，从延时注入耗费大量时间到用户名密码获取至整个网站数据信息泄露的一次真实记录。 渗透开始 首先开局登录框，任意输入用户名密码admin:
继续阅读代码审计| 某u8 1day漏洞分析
代码审计| 某u8 1day漏洞分析 原创 莫大130 安全逐梦人 2025-04-12 06:30 1day漏洞分析 hrmobile接口反射类漏洞本来这个漏洞是通过java反射nc.itf.hr.tools.IFileTrans.uploadFile 但是我只复现成功了nc.itf.hr.tools.IFileTrans.downloadFile 代码能力还是差没复现成功 U8cloud系
继续阅读【漏洞预警】Vite 任意文件读取漏洞(CVE-2025-32395)
【漏洞预警】Vite 任意文件读取漏洞(CVE-2025-32395) 原创 聚焦网络安全情报 安全聚 2025-04-12 03:55 中 危 公 告 近日，安全聚实验室监测到 Vite 存在任意文件读取漏洞 ，编号为：CVE-2025-32395，CVSS:6.0 由于没有对请求的路径进行严格的安全检查和限制，攻击者可利用该漏洞获取敏感信息，可能导致系统数据泄露等严重后果。 01 漏洞描述
继续阅读工具集： DahuaExploitGUI【dahua综合漏洞利用工具】
工具集： DahuaExploitGUI【dahua综合漏洞利用工具】 风铃Sec 2025-04-12 02:34 声明：仅用于授权测试，用户滥用造成的一切后果和作者无关 请遵守法律法规！【文末附下载】 🐉工具介绍 dahua综合漏洞利用工具，此项目主要用于在授权情况下对大华系列产品进行漏洞检测。 dahua综合漏洞利用工具 收录漏洞如下： 大华DSS数字监控系统attachment_clear
继续阅读ZZCMS最新跨站脚本漏洞及解决办法（CNVD-2025-05384、CVE-2025-1949）
ZZCMS最新跨站脚本漏洞及解决办法（CNVD-2025-05384、CVE-2025-1949） 原创 护卫神 护卫神说安全 2025-04-11 15:36 ZZCMS 是一款基于 PHP + MySQL 的内容管理系统，主要用于快速搭建招商网站，可快速搭建：医药招商、保健品招商、化妆品招商、农资招商、孕婴童招商、酒类副食类等招商网站。 它以简洁、高效和安全为特点，适合企业、个人及开发者使用。
继续阅读【漏洞复现】帆软报表 /view/ReportServer SQL注入漏洞
【漏洞复现】帆软报表 /view/ReportServer SQL注入漏洞 原创 PumpkinBridge 红细胞安全实验室 2025-04-11 13:57 前言 这里拿到目标站，结合漏扫指纹库可以发现是帆软数据决策系统，需要各位师傅收集系统指纹路径 登录页面 这里可以通过该路径查看当前版本,个别情况根目录可能没有webroot /webroot/dicision/system/info /d
继续阅读Jenkins Docker 镜像中存在漏洞 (CVE-2025-32754, CVE-2025-32755)
Jenkins Docker 镜像中存在漏洞 (CVE-2025-32754, CVE-2025-32755) Ots安全 2025-04-11 11:15 在不断发展的 DevOps 自动化领域，Jenkins 是支撑各种规模组织中无数构建流水线的基石工具。但最近披露的一个漏洞揭示了某些 Jenkins 构建环境背后潜伏的威胁——SSH 构建代理 Docker 镜像中的主机密钥重用，漏洞编号为
继续阅读回顾 | 2025香港Web3嘉年华：CertiK以创新技术定义安全未来
回顾 | 2025香港Web3嘉年华：CertiK以创新技术定义安全未来 原创 CertiK CertiK 2025-04-11 11:00 4月6日至9日，Web3安全巨头CertiK亮相2025香港Web3嘉年华。活动期间，CertiK不仅设立独立展位与广大Web3生态参与者深入互动，更通过高层次的技术交流与前沿研究成果展示，成为本届盛会备受瞩目的焦点。 耶鲁大学计算机科学系教授、CertiK
继续阅读午夜代码影：黑客捉奸背后的 Azure 漏洞暗战
午夜代码影：黑客捉奸背后的 Azure 漏洞暗战 勤奋的运营姐姐 EnhancerSec 2025-04-11 07:39 前因 凌晨两点，私家侦探林默的电脑屏幕在昏暗的房间里泛着幽幽蓝光。他盯着客户发来的信息，嘴角勾起一丝冷笑，“三天内，拿到我丈夫和那个女人的聊天记录，钱不是问题。” 客户的丈夫是某知名社交平台“蜜语“的CTO，而平台最近刚迁移到Azure云，采用了一套自动化CI/CD流水线——
继续阅读AI大模型安全漏洞预警！Langflow高危远程代码执行漏洞（CVE-2025-3248）
AI大模型安全漏洞预警！Langflow高危远程代码执行漏洞（CVE-2025-3248） Gobybot GobySec 2025-04-10 18:49 4月6日，Goby安全团队检测发现，AI大模型开源项目 Langflow-ai github issue 提交了一个关于代码注入漏洞反馈（当前该issue已关闭）, 攻击者可以通过向特定端点发送精心构造的HTTP请求，执行任意代码，官方迅速响
继续阅读列目录引起的一系列高危漏洞并获取一万五千元赏金记录
列目录引起的一系列高危漏洞并获取一万五千元赏金记录 小乳酸 Z2O安全攻防 2025-04-09 22:30 0x01 前言 一次很偏的子域名列目录所引起的一系列高危漏洞，教你薅厂商羊毛。 0x02 漏洞背景 一次金融众测项目，称其主站子域名为target.com。 0x03 漏洞挖掘过程 这次出现问题的站点我们称之为https://asdq14aq.target.com，这个子域名其它工具都没有
继续阅读利用 CVE-2025-29824 CLFS 零日漏洞可导致勒索软件活动
利用 CVE-2025-29824 CLFS 零日漏洞可导致勒索软件活动 原创 0x6270 0x6270安全团队 2025-04-09 21:00 Microsoft 威胁情报中心 （MSTIC） 和 Microsoft 安全响应中心 （MSRC） 发现，在入侵后利用 Windows 通用日志文件系统 （CLFS） 中的零日特权提升漏洞攻击少数目标。目标包括美国信息技术 （IT） 和房地产行业的
继续阅读【安全圈】Adobe 修复了 11 个 ColdFusion 严重漏洞，共发现 30 个漏洞
【安全圈】Adobe 修复了 11 个 ColdFusion 严重漏洞，共发现 30 个漏洞 安全圈 2025-04-09 19:01 关键词 安全漏洞 Adobe发布了安全更新来修复一系列新的安全漏洞，包括 ColdFusion 版本 2025、2023 和 2021 中的多个严重漏洞，这些漏洞可能导致任意文件读取和代码执行。 该产品的 30 个缺陷中，有 11 个严重程 度被评为“ 高危 ”
继续阅读用友crm客户关系管理borrowout/ajaxgetborrowdata.php接口存在SQL注入漏洞 附POC
用友crm客户关系管理borrowout/ajaxgetborrowdata.php接口存在SQL注入漏洞 附POC 2025-4-8更新 南风漏洞复现文库 2025-04-08 23:07 免责声明：请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果与文章作者无关。该文章仅供学习用途使用。 1
继续阅读【漏洞预警】PgAdmin远程代码执行漏洞CVE-2025-2945
【漏洞预警】PgAdmin远程代码执行漏洞CVE-2025-2945 cexlife 飓风网络安全 2025-04-08 22:44 漏洞描述: pgadmin发布安全公告,其中公开披露了一个PgAdmin4中的代码注入漏洞,由于high_availability参数不安全地传递给eval()函数导致低权限的攻击者可以通过该漏洞注入恶意代码来获取服务器控制权限,当以server模式部署时,具有账号
继续阅读一行代码引发的灾难：PHP文件包含漏洞全面剖析与防御
一行代码引发的灾难：PHP文件包含漏洞全面剖析与防御 原创 VlangCN HW安全之路 2025-04-08 20:21 在Web安全领域，文件包含漏洞(File Inclusion)是一种常见但危害严重的安全缺陷。今天我们深入浅出地讲解本地文件包含漏洞(LFI)的原理、利用方式和防御措施，帮助开发者构建更安全的应用程序。 什么是LFI漏洞？ LFI(Local File Inclusion)，
继续阅读【漏洞预警】pgAdmin 远程代码执行漏洞（CVE-2025-2945）
【漏洞预警】pgAdmin 远程代码执行漏洞（CVE-2025-2945） 原创 聚焦网络安全情报 安全聚 2025-04-08 20:03 严 重 公 告 近日，安全聚实验室监测到 pgAdmin 存在远程代码执行漏洞 ，编号为：CVE-2025-2945，CVSS:10 由于 high_availability 参数被不安全地传递给 eval() 函数，低权限攻击者可以利用该漏洞注入恶意代码
继续阅读【安全圈】Dell PowerProtect 系统漏洞可让远程攻击者执行任意命令
【安全圈】Dell PowerProtect 系统漏洞可让远程攻击者执行任意命令 安全圈 2025-04-08 19:01 关键词 安全漏洞 已发现 Dell Technologies PowerProtect Data Domain 系统存在一个重大安全漏洞，该漏洞可能使已认证用户能够以 root 权限执行任意命令，从而有可能危及关键的数据保护基础设施。 Dell 已发布修复补丁，以解决这一严重
继续阅读Emlog index.php接口的存在SQL注入漏洞 附POC
Emlog index.php接口的存在SQL注入漏洞 附POC 2025-4-7更新 南风漏洞复现文库 2025-04-07 23:44 免责声明：请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果与文章作者无关。该文章仅供学习用途使用。 1. Emlog 简介 微信公众号搜索：南风漏洞复现文
继续阅读