标签： SQL注入

安全热点周报：时隔一周，Ivanti 又公开一云服务设备漏洞正面临在野利用

发布于 作者:

安全热点周报：时隔一周，Ivanti 又公开一云服务设备漏洞正面临在野利用 奇安信 CERT 2024-09-23 17:07 安全资讯导视  • 《网络安全标准实践指南——敏感个人信息识别指南》发布 • 供应商泄露用户数据，美国电信巨头AT&T被罚超9000万元 • 黎巴嫩寻呼机遭远程攻击大规模爆炸，致使9人死亡数千人受伤 PART01 漏洞情报 1.GitLab SAML认证绕过漏洞安

继续阅读

nuclei+ai 解放双手，自动刷洞，同时poc共享！！

发布于 作者:

nuclei+ai 解放双手，自动刷洞，同时poc共享！！ 朱厌安全 2024-09-22 18:24 背景 之前在github上看到了nuclei新推出的一个浏览器插件，nuclei ai可以利用浏览器浏览器和ai直接对poc数据包生成合适的yaml文件，在星球内进行代shua poc的时候发现很多师傅不会写yaml，故写这篇文章，希望可以利用这个浏览器插件方便大家~~ 2. 项目地址 项目地址

继续阅读

SRC挖掘实战之某勒索病毒解密平台命令执行

发布于 作者:

SRC挖掘实战之某勒索病毒解密平台命令执行 Khan安全团队 2024-09-22 16:38 注：漏洞已经上报厂商并且已完成修复。目标：https://lesuobingdu.xxx.cn/ 访问目标网站功能点居少，一般这种只有几个功能的单页很多人会忽略一些功能点 分别测试查询和解密的功能，发现系统会将上传后的文件带入内部病毒库去查询，然后对比md5值或者识别文件内容来判断病毒再响应出解密的方案

继续阅读

漏洞推送|【0day】深大智能科技有限公司管控平台getAreaInfo存在SQL注入漏洞

发布于 作者:

漏洞推送|【0day】深大智能科技有限公司管控平台getAreaInfo存在SQL注入漏洞 小白菜安全 2024-09-21 20:21 漏洞描述 智游宝是连接景区与分销商(OTA、旅行社)的公正、权威、可信的第三方服务平台。作为国内智慧景区第三方技术服务支撑平台，智游宝为景区提供了可控制分销商的管理环境，安全、便捷、高效地实现了电子票的生产、发送、检票、退换票以及票款回收等技术环节；为分销商提供

继续阅读

2300$：分享4个高危业务逻辑漏洞

发布于 作者:

2300$：分享4个高危业务逻辑漏洞 玲珑安全官方 芳华绝代安全团队 2024-09-21 17:33 关注公众号，阅读优质漏洞挖掘文章 前言 该目标程序是一家提供浏览器服务的公司，其核心功能是网页抓取和多账户登录操作，类似于浏览器中的隐身模式，但更加强大和高效。通过该平台，用户可以轻松管理并同时运行数百个隐身浏览器实例，而不需要复杂的配置。 值得注意的是， 该应用仅提供付费订阅计划。个人用户的订

继续阅读

「漏洞复现」灵当CRM marketing/index.php SQL注入漏洞

发布于 作者:

「漏洞复现」灵当CRM marketing/index.php SQL注入漏洞 冷漠安全 冷漠安全 2024-09-21 15:17 0x01 免责声明 免责声明 请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，作者不为此承担任何责任。工具来自网络，安全性自测，如有侵权请联系删除。本次测试仅供学习使用，如若非法他用，与平

继续阅读

警惕风险突出的100个高危漏洞（下）

发布于 作者:

警惕风险突出的100个高危漏洞（下） 安小圈 2024-09-21 08:45 安小圈 第507期 高危漏洞  风险(下) 高危漏洞是网络系统可能被黑客利用以进行非法访问、数据窃取或系统破坏的严重安全缺陷。每一个操作系统、网络应用都可能存在这样的漏洞。这些漏洞一旦被恶意利用，将给网络系统带来极大的安全风险，可能影响网络系统的正常运行，甚至给网络运营者造成经济财产损失。因此，及时发现并修复高危漏洞是

继续阅读

macOS 日历 0-Click RCE 漏洞

发布于 作者:

macOS 日历 0-Click RCE 漏洞 Mikko Kenttälä 合规渗透 2024-09-20 17:38 from：Mikko Kenttälä 我在 macOS 日历中发现了一个零点击漏洞，该漏洞允许攻击者在日历沙箱环境中添加或删除任意文件。这可能会导致许多不好的事情，包括恶意代码执行，这些代码可以与照片安全保护规避相结合，从而危及用户的敏感照片 iCloud 照片数据。Appl

继续阅读

信息安全漏洞周报（2024年第38期 ）

发布于 作者:

信息安全漏洞周报（2024年第38期 ） CNNVD CNNVD安全动态 2024-09-20 14:15 点击蓝字 关注我们 漏洞情况**** 根据国家信息安全漏洞库（CNNVD）统计，本周（2024年9月9日至2024年9月15日）安全漏洞情况如下： 公开漏洞情况 本周CNNVD采集安全漏洞713个。 接报漏洞情况 本周CNNVD接报漏洞28582个，其中信息技术产品漏洞（通用型漏洞）191个

继续阅读

「漏洞复现」华望云会议管理平台 checkDoubleUserNameForAdd SQL注入漏洞

发布于 作者:

「漏洞复现」华望云会议管理平台 checkDoubleUserNameForAdd SQL注入漏洞 冷漠安全 冷漠安全 2024-09-19 18:42 0x01 免责声明 免责声明 请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，作者不为此承担任何责任。工具来自网络，安全性自测，如有侵权请联系删除。本次测试仅供学习使用

继续阅读

CISA、FBI督促消除XSS漏洞

发布于 作者:

CISA、FBI督促消除XSS漏洞 Ionut Arghire 代码卫士 2024-09-19 18:09 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 美国网络安全局CISA和FBI针对普遍存在的XSS漏洞发布“设计即安全”的警告，督促组织机构消除产品中的XSS漏洞。 XSS漏洞即跨站点脚本漏洞，CISA和FBI指出，这些漏洞存在的原因是未对用户输入进行正确验证、清理或逃逸，因此导致威胁

继续阅读

【在野利用】Ivanti Cloud Service Appliance 命令注入漏洞(CVE-2024-8190)安全风险通告

发布于 作者:

【在野利用】Ivanti Cloud Service Appliance 命令注入漏洞(CVE-2024-8190)安全风险通告 奇安信 CERT 2024-09-19 16:16 ●  点击↑蓝字关注我们，获取更多安全风险通告 漏洞概述 漏洞名称 Ivanti Cloud Service Appliance 命令注入漏洞 漏洞编号 QVD-2024-39367,CVE-2024-8190 公开时

继续阅读

Gmail 中的 HTML 表单注入漏洞

发布于 作者:

Gmail 中的 HTML 表单注入漏洞 原创 骨哥说事 骨哥说事 2024-09-18 22:22 声明：文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由用户承担全部法律及连带责任，文章作者不承担任何法律及连带责任。 博客新域名：https://gugesay.com **不想错过任何消息？设置星标↓ ↓ ↓ 前言 你是否知道 Gmail 允许使用 HT

继续阅读

手把手edusrc漏洞挖掘和github信息收集

发布于 作者:

手把手edusrc漏洞挖掘和github信息收集 想当文人的黑客 Z2O安全攻防 2024-09-18 21:07 点击上方[蓝字]，关注我们 建议大家把公众号“Z2O安全攻防”设为星标，否则可能就看不到啦！ 因为公众号现在只对常读和星标的公众号才能展示大图推送。操作方法：点击右上角的【…】，然后点击【设为星标】即可。 免责声明 本文仅用于技术讨论与学习，利用此文所提供的信息而造成的任

继续阅读

雷神众测漏洞周报2024.09.09-2024.09.17

发布于 作者:

雷神众测漏洞周报2024.09.09-2024.09.17 原创 雷神众测 雷神众测 2024-09-18 17:12 摘要 以下内容，均摘自于互联网，由于传播，利用此文所提供的信息而造成的任何直接或间接的后果和损失，均由使用者本人负责，雷神众测以及文章作者不承担任何责任。雷神众测拥有该文章的修改和解释权。如欲转载或传播此文章，必须保证此文章的副本，包括版权声明等全部内容。声明雷神众测允许，不得任

继续阅读

博通修复 VMware vCenter Server 中的严重RCE漏洞

发布于 作者:

博通修复 VMware vCenter Server 中的严重RCE漏洞 Sergiu Gatlan 代码卫士 2024-09-18 16:10 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 博通修复了一个严重的 VMware vCenter Server 漏洞，可被攻击者通过网络数据包在未修复服务器上获得远程代码执行能力。 vCenter Server 是 VMware 的 vSpher

继续阅读

黑客自 8 月以来频繁利用公开漏洞攻击 WhatsUp Gold

发布于 作者:

黑客自 8 月以来频繁利用公开漏洞攻击 WhatsUp Gold 胡金鱼 嘶吼专业版 2024-09-18 14:01 黑客一直在利用 Progress Software 的 WhatsUp Gold 网络可用性和性能监控解决方案中两个严重漏洞的公开漏洞代码。 自 8 月 30 日以来，攻击中利用的两个漏洞是 SQL 注入漏洞，跟踪编号为 CVE-2024-6670 和 CVE-2024-6671

继续阅读

FortiGate SSLVPN 堆溢出漏洞分析与利用

发布于 作者:

FortiGate SSLVPN 堆溢出漏洞分析与利用 原创 林昀 山石网科安全技术研究院 2024-09-18 12:15 漏洞信息 处理env参数时存在逻辑缺陷，导致堆溢出写，漏洞利用可以导致任意代码执行。（CVE-2023-27997） 环境搭建 导入虚拟机 打开 vmware 左上角 文件 -> 打开虚拟机 -> 选择 FortGate-VM64.ovf 直接就能运行 fort

继续阅读

漏洞通告 | Ivanti Cloud Service Appliance 命令注入漏洞（CVE-2024-8190）

发布于 作者:

漏洞通告 | Ivanti Cloud Service Appliance 命令注入漏洞（CVE-2024-8190） 原创 微步情报局 微步在线研究响应中心 2024-09-18 11:50 漏洞概况 Ivanti Cloud Service Appliance (CSA) 是 Ivanti 提供的一款本地部署的虚拟设备，旨在简化和增强 Ivanti 产品与云服务的集成。 微步情报局于近日获取到

继续阅读

使用Joern进行漏洞挖掘(Joern支持Android漏洞挖掘)

发布于 作者:

使用Joern进行漏洞挖掘(Joern支持Android漏洞挖掘) 哆啦安全 2024-09-17 09:31 使用 Joern 进行漏洞挖掘 曾几何时，在 代码安全审计之道  一文中介绍了一些形而上学的代码审计方法论，在该文章提及未来会继续介绍一些具体的漏洞挖掘工具和技巧，即代码安全审计之术。正所谓白驹过隙，光阴荏苒，不知不觉两年多过去了，由于怠惰一直没有动笔。不过我也一直没有忘记这茬，正好最近

继续阅读

「漏洞复现」用友U8 Cloud AddTaskDataRightAction SQL注入漏洞

发布于 作者:

「漏洞复现」用友U8 Cloud AddTaskDataRightAction SQL注入漏洞 冷漠安全 冷漠安全 2024-09-16 10:27 0x01 免责声明 免责声明 请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，作者不为此承担任何责任。工具来自网络，安全性自测，如有侵权请联系删除。本次测试仅供学习使用，如

继续阅读

2024年推出的11个顶级漏洞悬赏项目

发布于 作者:

2024年推出的11个顶级漏洞悬赏项目 晶颜123 FreeBuf 2024-09-16 09:30 漏洞悬赏计划仍然是2024年网络安全战略的重要组成部分，为组织提供了从各种网络安全专业人员和研究人员那里获得帮助的能力。Bugcrowd、HackerOne、Synack、YesWeHack和integriti等领先的漏洞奖励平台将道德黑客与组织联系起来，为漏洞披露和解决方案提供结构化框架，并为成

继续阅读

漏洞预警 | 泛微E-Cology SQL注入漏洞

发布于 作者:

漏洞预警 | 泛微E-Cology SQL注入漏洞 浅安 浅安安全 2024-09-16 08:30 0x00 漏洞编号 – # 暂无 0x01 危险等级 – 高危 0x02 漏洞概述 泛微协同管理应用平台（e-cology）是一套兼具企业信息门户、知识管理、数据中心、工作流管理、人力资源管理、客户与合作伙伴管理、项目管理、财务管理、资产管理功能的协同商务平台。 0x03

继续阅读

赏金15000美元的 RCE

发布于 作者:

赏金15000美元的 RCE 迪哥讲事 2024-09-15 21:30 声明：文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由用户承担全部法律及连带责任，文章作者不承担任何法律及连带责任。 博客新域名：https://gugesay.com **不想错过任何消息？设置星标↓ ↓ ↓ 预祝各位中秋快乐，身体健康！ 背景介绍 你是否遇到过明知一个端点可能很容

继续阅读

漏洞挖掘 | 记一次针对blade站点的渗透测试

发布于 作者:

漏洞挖掘 | 记一次针对blade站点的渗透测试 原创 zkaq – Tobisec 掌控安全EDU 2024-09-15 12:01 扫码领资料 获网安教程 本文由掌控安全学院 –  Tobisec 投稿 来Track安全社区投稿~ 千元稿费！还有保底奖励~（https://bbs.zkaq.cn） 0x1 前言 浅谈 哈喽，师傅们好！ 这篇文章呢，主要是我在微信公众号通

继续阅读

API接口文件包含+命令执行

发布于 作者:

API接口文件包含+命令执行 原创 道玄安全 道玄网安驿站 2024-09-15 11:20 “  API接口测试” 看到了，关注一下 不吃亏啊，点个赞转发一下啦，WP看不下去的，可以B站搜：标松君 ，UP主录的打靶视频，欢迎关注。顺便宣传一下星球：重生者安全， 里面每天会不定期更新OSCP 知识点，车联网 ，渗透红队 以及漏洞挖掘工具 等信息分享，欢迎加入；以及想挖SRC逻辑漏洞 的朋友，可以私

继续阅读

某群管理系统存在SQL注入漏洞

发布于 作者:

某群管理系统存在SQL注入漏洞 原创 儒道易行 儒道易行 2024-09-14 20:00 有些事情不是看到希望才去坚持，而是坚持了才会看到希望。 漏洞实战 访问url： 登录界面如下： 输入万能密码： 成功登录： 文笔生疏，措辞浅薄，望各位大佬不吝赐教，万分感谢。 免责声明：由于传播或利用此文所提供的信息、技术或方法而造成的任何直接或间接的后果及损失，均由使用者本人负责， 文章作者不为此承担任何

继续阅读