CVE-2024-38077｜Windows 远程桌面授权服务（RDL）远程代码执行漏洞（POC） alicy 信安百科 2024-08-10 11:40 0x00 前言 远程桌面许可服务（RDL）是 Windows Server 的一个组件，用于管理和颁发远程桌面服务的许可证，确保对远程应用程序和桌面的安全且合规的访问。 0x01 漏洞描述 CVE-2024-38077 是 Windows 远程
继续阅读CVE-2024-42005｜Django SQL注入漏洞 alicy 信安百科 2024-08-10 11:40 0x00 前言 Django是一个高级的Python Web框架，可以快速开发安全和可维护的网站。由经验丰富的开发者构建，Django负责处理网站开发中麻烦的部分，可以专注于编写应用程序，而无需重新开发。它是免费和开源的，有活跃繁荣的社区，丰富的文档，以及很多免费和付费的解决方案。
继续阅读CVE-2024-42009｜Roundcube Webmail跨站脚本漏洞 alicy 信安百科 2024-08-10 11:40 0x00 前言 Roundcube Webmail是一个开源的基于web的电子邮件客户端，旨在提供用户友好的界面和强大的功能，使用户能够通过web浏览器方便地访问和管理他们的电子邮件。 Roundcube支持标准的邮件协议（如IMAP和SMTP），并提供了许多常见的
继续阅读积木报表授权绕过漏洞缓解措施 原创 浮萍 猎户攻防实验室 2024-08-09 23:59 0x00 前言 近期，积木报表（jmreport）被曝出存在一个授权绕过漏洞。该漏洞允许攻击者在请求中包含特定参数时绕过授权机制，从而访问诸如 save、queryFieldBySql、show 等接口。尽管之前的远程代码执行（RCE）漏洞已被修复，但攻击者仍能通过 AviatorScript 表达式注入，
继续阅读【0day】SpringBlade系统usual接口存在SQL注入漏洞 原创 7coinSec 7coinSec 2024-08-09 21:49 免责声明 本文章仅用于信息安全防御技术分享， 请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果与文章作者无关 ，请严格遵循法律法规。 未经作者允许
继续阅读JS接口提取,漏洞检测工具 – 0x7eTeamTools GSDNC GSDK安全团队 2024-08-09 20:44 01 项目地址 https://github.com/0x7eTeam/0x7eTeamTools 02 项目介绍 javafx练习,JS接口提取,漏洞检测工具 软件介绍 设置 代理—–推荐socks API配置 基本工具 常用命令（爆破、文件上传、R
继续阅读核弹级漏洞预警微软超高危漏洞“桌面许可”波及全球远程桌面RCE CVE-2024-38077 俊杰说黑客 2024-08-09 20:41 CVE-2024-38077：Windows Remote Desktop Licensing Service远程代码执行漏洞 Windows 远程桌面授权服务中存在堆缓冲区溢出漏洞，该漏洞的 CVSS评分为9.8， 未经身份验证的威胁者可以连接到远程桌面授权
继续阅读「漏洞复现」Mtab书签导航程序 LinkStore/getIcon SQL注入漏洞 冷漠安全 冷漠安全 2024-08-09 20:02 0x01 免责声明 免责声明 请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，作者不为此承担任何责任。工具来自网络，安全性自测，如有侵权请联系删除。本次测试仅供学习使用，如若非法他用
继续阅读弘扬数字时代青年力量，ISC.AI 2024漏洞生态与实战人才发展论坛召开 360安全应急响应中心 2024-08-09 19:41 近日，ISC.AI 2024漏洞生态与实战人才发展论坛在北京国家会议中心顺利召开。论坛上，360与中国光华科技基金会共同发布“数字时代青年力量”数字安全科技人才激励计划并开启“时代青年榜样”评选，进一步鼓励青年人才加入网络安全队伍。同时，安全KER社区1.0正式上线
继续阅读QVD-2024-26473：Nacos Derby未授权RCE漏洞 白帽子 2024-08-09 18:50 关注我们❤️，添加星标🌟，一起学安全！作者：hexixi@Timeline Sec 本文字数：3819阅读时长：2～4min 声明：仅供学习参考使用，请勿用作违法用途，否则后果自负 0x01 简介 Nacos 是一个用于动态服务发现和配置以及服务管理的平台，Derby 是一个Java 类
继续阅读【8/9特辑】热点漏洞速递 安恒研究院 安恒信息CERT 2024-08-09 18:40 漏洞导览 · 通达OA存在管理员密码重置漏洞 · 用友U8 Cloud 存在多个SQL注入漏洞 · 亿赛通电子文档安全管理系统存在SQL注入漏洞 · 金和OA存在SQL注入漏洞 · 科讯一卡通管理系统存在SQL注入漏洞 · 品茗招标信用评价系统存在远程代码执行漏洞 · 龙腾CMS存在远程命令执行漏洞 · 龙
继续阅读Linux 内核重大安全漏洞曝光！indler 漏洞威胁数亿计算机系统 看雪学苑 2024-08-09 18:03 8月8日， 著名系统内核专家、《软件调试》作者张银奎发布了一篇文章《是谁在LINUX内核中开了这个大洞？》，曝光隐藏12年之久的 Linux 内核重大安全漏洞 —— indler 漏洞， 并表示该 漏洞代码存在于从终端到云的数以亿计的计算机系统上，一旦被黑客利用，后果不堪设想。 一切
继续阅读【8/7特辑】热点漏洞速递 安恒研究院 安恒信息CERT 2024-08-07 17:36 漏洞导览 · 用友 U8-Cloud 存在SQL注入漏洞 · 用友 U8-Cloud 存在SQL注入漏洞 · 金和OA存在SQL注入漏洞 · 浪潮云财务系统存在远程命令执行漏洞 漏洞概况 在当前网络攻防演练中，安恒信息CERT正紧密关注近期曝光的安全漏洞，持续进行监测和深入梳理。我们将对监测到的每一个漏洞进
继续阅读【漏洞实例】微软云服务漏洞云安全漏洞 Azure CSV 注入漏洞 EnhancerSec 2024-08-07 16:58 前言 声明：本文仅供学习参考使用，如若造成其他不良影响，均与本公众号无关！ 本文已于7月30日上传至知识星球，加入星球可享受的福利请看文末 漏洞摘要： 在测试时，发现Azure用户可以尝试(但失败)创建具有恶意名称的 Azure“资源组”。在
继续阅读「漏洞复现」BladeX企业级开发平台 usual/list SQL 注入漏洞 冷漠安全 冷漠安全 2024-08-07 16:39 0x01 免责声明 免责声明 请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，作者不为此承担任何责任。工具来自网络，安全性自测，如有侵权请联系删除。本次测试仅供学习使用，如若非法他用，与平
继续阅读信息安全漏洞周报（2024年第32期 ） CNNVD CNNVD安全动态 2024-08-07 15:04 点击蓝字 关注我们 漏洞情况 根据国家信息安全漏洞库（CNNVD）统计，本周（2024年7月29日至2024年8月4日）安全漏洞情况如下： 公开漏洞情况 本周CNNVD采集安全漏洞799个。 接报漏洞情况 本周CNNVD接报漏洞32103个，其中信息技术产品漏洞（通用型漏洞）254个，网络信
继续阅读实战| 一次host头中毒导致的逻辑漏洞（骚思路） 橘猫学安全 2024-08-07 14:51 翻到某安全公众号时，发现的一个骚思路。 有些网站开发者会提取request包里的host头来获取域名信息，但是host头可以被修改，是不可信的。 于是攻击者可以通过构造host头来进行投毒攻击。 例如发送包含受害者网站域名链接的功能，像是密码找回、发送验证链接等，只要业务上利用了类似于域名提取的功能，
继续阅读Hvv 日记 威胁情报 8.6 （漏洞、IP、样本） Khan安全团队 2024-08-07 09:49 漏洞 H3C iMC 智能管理中心 远程代码执行漏洞 恶意IP 39.104.70.180 漏洞利用 121.199.165.46 漏洞利用 119.145.128.76 漏洞利用 60.14.228.23 漏洞利用 1.13.197.135 漏洞利用 112.124.21.200 漏洞利用
继续阅读【漏洞通告】Apache OFBiz 存在代码注入漏洞CVE-2024-38856 cexlife 飓风网络安全 2024-08-06 23:40 漏洞简介:Apache OFBiz /webtools/control/main/ProgramExport存在代码注入漏洞,可利用该漏洞执行恶意代码,获取服务器权限等。漏洞详情:近日Apache OFbiz发布了安全公告,其中在新版本中修复了一个未授
继续阅读探索AI聊天机器人工作流程实现RCE 原创 玲珑安全官方 芳华绝代安全团队 2024-08-06 19:31 前言 我发现了一个广泛使用的AI聊天机器人平台中的远程代码执行漏洞。该漏洞存在于聊天机器人的自定义工作流响应代码中，这些工作流允许开发人员通过创建定制的流程来扩展机器人的功能。 正文 在浏览自动化聊天机器人的多个特定功能时，其中一个引起我注意的功能是“Start from scratch”
继续阅读上周关注度较高的产品安全漏洞(20240729-20240804) 国家互联网应急中心CNCERT 2024-08-06 14:11 一、境外厂商产品漏洞 1、Microsoft Outlook远程代码执行漏洞（CNVD-2024-34111）**** Microsoft Outlook是美国微软（Microsoft）公司的一套电子邮件应用程序。Microsoft Outlook存在远程代码执行漏
继续阅读XML 基础知识 && XXE 漏洞原理解析及实验 编码安全研究 2024-08-05 17:07 XML 介绍 XXE全称XML外部实体注入，所以在介绍XXE漏洞之前，先来说一说什么是XML以及为什么使用XML进而再介绍一下XML的结构。 XML全称 可拓展标记语言，与HTML相互配合后： – HMTL用来显示数据 HTML的焦点在于数据的外观（如何显示数据） XML
继续阅读安全热点周报：本周新增四个在野利用漏洞，企业安全面临新威胁 奇安信 CERT 2024-08-05 16:25 安全资讯导视 • 自然资源部印发《关于加强智能网联汽车有关测绘地理信息安全管理的通知》 • 美国白宫发布《联邦风险和授权管理计划现代化》备忘录 • 史上最高！一财富50强企业向勒索软件支付了超5.4亿元赎金 PART01 新增在野利用 1.VMware ESXi 身份认证绕过漏洞(CV
继续阅读信呼OA系统index接口处nickname参数存在SQL注入漏洞【漏洞复现|附nuclei-POC】 原创 kingkong 脚本小子 2024-08-05 15:35 免责声明： 本文内容仅供技术学习参考，请勿用于违法破坏。利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，与作者无关。如有侵权请联系删除。 信呼OA系统index接口处nickname参数存在
继续阅读Calibre 电子书软件存在严重安全漏洞 flyme 独眼情报 2024-08-05 11:38 Calibre 是一款流行的跨平台电子书管理软件，存在三个重大安全漏洞。STAR Labs SG Pte. Ltd. 的研究人员发现这些漏洞可能会使数百万用户面临各种网络威胁。 图片：Starlabs 第一个漏洞被追踪为 CVE-2024-7008 (CVSS 5.3) ，它 使 攻击者能够将恶意
继续阅读一款强大的burpsuite漏洞扫描插件 黑白之道 2024-08-05 09:53 目前功能 1. fastjson扫描 2. 权限绕过扫描 3. 未授权检测扫描 4. sql注入检测 5. 多层级路由扫描 6. 工具调用 7. log4j 检测 8. 复杂数据提交 9. 一键生成nuclei模板 10. 生成指定kb大小的随机字符串 11. 代理池功能 12. 子域名收集(复刻https:/
继续阅读Panalog 日志审计系统 SQL 注入漏洞【XVE-2024-5232】 小酸弟 小酸弟信安 2024-08-05 09:28 01 简介及指纹 Panalog大数据日志审计系统是一款专注于大数据日志管理和审计的系统，旨在帮助企业和组织有效地管理、分析和审计大量日志数据。 资产检索 FOFA：body=”Maintain/cloud_index.php” 02 漏洞概述
继续阅读Hvv姿势——0day拦截 蛙王工具库 2024-08-05 08:35 这几天up闭门修炼（被抓去值班）托更至今，偶然顿悟了0day捕获姿势，特地水出来和师傅们分享一下。可行性其实很高，主要是需要的前置工作比较多，需要把网络隔离的好，不然有可能会玩脱。 先写在前面：本方法不适用于任何gov、edu后缀的网站，仅测试和讨论用，请勿直接用于真实环境。 先上架构图，up不喜欢画标准的拓扑。大家凑合看一
继续阅读漏洞预警 用友 NC querypsninfo SQL注入漏洞 by 融云安全-sm 融云攻防实验室 2024-08-04 22:28 0x01 阅读须知 融云安全的技术文章仅供参考，此文所提供的信息只为网络安全人员对自己所负责的网站、服务器等（包括但不限于）进行检测或维护参考，未经授权请勿利用文章中的技术资料对任何计算机系统进行入侵操作。利用此文所提供的信息而造成的直接或间接后果和损失，均由使用
继续阅读