标签： SQL注入

研究员披露谷歌云平台上的 ConfusedFunction 漏洞

发布于 作者:

研究员披露谷歌云平台上的 ConfusedFunction 漏洞 THN 代码卫士 2024-07-26 17:41 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 网络安全研究员披露了一个影响Google Cloud Platform 的 Cloud Functions 服务的提权漏洞，可被用于越权访问其它服务和敏感数据。Tenable 公司将其称为 “ConfusedFunction”。

继续阅读

「推安早报」0726 | Selenium Grid Rce、红队新技术、spring Skipper组件rce

发布于 作者:

「推安早报」0726 | Selenium Grid Rce、红队新技术、spring Skipper组件rce bggsec 甲方安全建设 2024-07-26 16:39 # 2024-07-26 「红蓝热点」每天快人一步 > 1. 推送「新、热、赞」，帮部分人阅读提效 2. 学有精读浅读深读，艺有会熟精绝化，觉知此事重躬行。推送只在浅读预览 3. 机读为主，人工辅助，每日数万网站，10

继续阅读

今日hw情报-某小众CMS 0day 反序列化漏洞

发布于 作者:

今日hw情报-某小众CMS 0day 反序列化漏洞 private null 轩公子谈技术 2024-07-24 19:51 此系统为.net开发，即为viewstate反序列化漏洞。 通过爆破获取到默认key，利用yso，构造数据包可以执行任意命令或内存马。 NET系统漏洞｜view state 学习 NET系统｜RC到注入内存马 搜索历史漏洞，仅存在sql漏洞。 特殊时期，所以先码死

继续阅读

赶快排查！2024实网攻防演练最新高危漏洞合集

发布于 作者:

赶快排查！2024实网攻防演练最新高危漏洞合集 网络安全研究院 亚信安全 2024-07-24 18:20 2024实网攻防演练 已经吹响号角 你是否在用以下工具？ VPN、远程工具、办公软件 OA系统、聊天工具、安全产品 这些工具的漏洞一旦被利用 被攻陷率近100% 很多企业为此导致整个防御体系被突破 从而 遗憾出局 2024实网攻防演练已经正式开始，亚信安全网络安全研究院结合自身的“外部攻击面

继续阅读

护网第一天！浪潮云财务系统RCE已首发披露！

发布于 作者:

护网第一天！浪潮云财务系统RCE已首发披露！ 原创 棉花糖糖糖 棉花糖fans 2024-07-22 23:19 0.前言 护网在即，棉花糖组建了蓝队情报共享群，为大家提供攻击IP、护网吃瓜、钓鱼木马信息、护网常用文档、0day披露等资讯，详情可见以下文章~ 护网时间已确定，你确定不需要这个蓝队情报共享群？ 本文相关内容在群公告链接内实时更新。 人工坚持更新不易，如果对您有帮助，还请给本文点个赞，

继续阅读

【漏洞预警】Nacos derby 接口SQL注入导致RCE漏洞

发布于 作者:

【漏洞预警】Nacos derby 接口SQL注入导致RCE漏洞 cexlife 飓风网络安全 2024-07-22 22:37 漏洞描述:Nacos是一个用于动态服务发现和配置以及服务管理的平台,Derby是一个轻量级的嵌入式数据库,接口/nacos/v1/cs/ops/derby和/nacos/v1/cs/ops/data/removal在使用Derby 数据库作为内置数据源时,用于运维人员进

继续阅读

安全热点周报：本周新增四个在野利用漏洞，Magento、SolarWinds等企业级应用受波及

发布于 作者:

安全热点周报：本周新增四个在野利用漏洞，Magento、SolarWinds等企业级应用受波及 奇安信 CERT 2024-07-22 17:31 安全资讯导视  • Crowdstrike更新导致全球近千万台Windows蓝屏死机 • 重大事故！美国电信巨头AT&T几乎所有用户的电话记录泄露 • 北约发布新版《人工智能战略》概要 PART01 漏洞情报 1.JumpServer多个高危后

继续阅读

首发0day-1Panel面板最新前台RCE漏洞(内附Poc)

发布于 作者:

首发0day-1Panel面板最新前台RCE漏洞(内附Poc) 实战安全研究 2024-07-20 13:17 0x00 漏洞描述 1Panel 是新一代的 Linux 服务器运维管理面板，用户可以通过 Web 图形界面轻松管理 Linux 服务器，实现主机监控、文件管理、数据库管理、容器管理等功能。且深度集成开源建站软件 WordPress 和 Halo. 0x**01 影响范围 网站监控功能影

继续阅读

某通用系统0day审计过程

发布于 作者:

某通用系统0day审计过程 Zjacky 白帽子左一 2024-07-20 12:19 扫码领资料 获网安教程 文章来源: https://forum.butian.net/share/2873 某通用系统0day审计过程 前言 本篇文章首发在先知社区 作者Zjacky(本人) 先知社区名称: Zjacky 转载原文链接为https://xz.aliyun.com/t/13866 代码审计篇章都是

继续阅读

「漏洞复现」数字通云平台 智慧政务OA PayslipUser SQL注入漏洞

发布于 作者:

「漏洞复现」数字通云平台 智慧政务OA PayslipUser SQL注入漏洞 冷漠安全 冷漠安全 2024-07-20 11:31 0x01 免责声明 免责声明 请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，作者不为此承担任何责任。工具来自网络，安全性自测，如有侵权请联系删除。本次测试仅供学习使用，如若非法他用，与平

继续阅读

GeoServer 综合漏洞扫描工具V1.2 发布！

发布于 作者:

GeoServer 综合漏洞扫描工具V1.2 发布！ 信安404 2024-07-19 20:55 0x01 工具更新 增加了注入内存马的功能，修复了检测漏洞的判断方式，减少了误报率 0x02 使用方法 由于程序调用的是jMG-gui-obf-1.0.8，没有内置加载的payload，所以将java环境带了上去进行调用 后续会 内置一些Payload。 生成Payload 根据对方中间件来选择组件

继续阅读

【漏洞通告】Alibaba Nacos derby 远程代码执行漏洞

发布于 作者:

【漏洞通告】Alibaba Nacos derby 远程代码执行漏洞 安迈信科应急响应中心 2024-07-19 18:22 01 漏洞概况     Alibaba Nacos derby 存在远程代码执行漏洞，由于Alibaba Nacos部分版本中derby数据库默认可以未授权访问，恶意攻击者利用此漏洞可以未授权执行SQL语句，从而远程加载恶意构造的jar包，最终导致任意代码执行。02 漏洞处

继续阅读

【漏洞通告】SpringBlade存在SQL注入漏洞

发布于 作者:

【漏洞通告】SpringBlade存在SQL注入漏洞 安迈信科应急响应中心 2024-07-19 18:22 01 漏洞概况      SpringBlade是上海布雷德科技有限公司精心设计的一款微服务架构，提供SpringCloud全套解决方案。SpringBlade存在SQL注入漏洞，攻击者可利用该漏洞获取数据库敏感信息。02 漏洞处置综合处置优先级：高漏洞信息漏洞名称Springblade存

继续阅读

SolarWinds 修复访问权限审计软件中的8个严重漏洞

发布于 作者:

SolarWinds 修复访问权限审计软件中的8个严重漏洞 Sergiu Gatlan 代码卫士 2024-07-19 18:20 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 SolarWinds 修复了位于访问权限管理器 (Access Rights Manager, ARM) 软件中的8个严重漏洞，其中6个可导致攻击者获得易受攻击设备上的远程代码执行 (RCE) 权限。 ARM是企业

继续阅读

CVE-2024-38050｜Windows Workstation 服务权限提升漏洞

发布于 作者:

CVE-2024-38050｜Windows Workstation 服务权限提升漏洞 alicy 信安百科 2024-07-19 17:59 0x00 前言 创建和维护到远程服务的客户端网络连接。如果服务停止，这些连接将不可用。如果服务被禁用，任何直接依赖于此服务的服务将无法启动。 Workstation服务是影响“网上邻居”等windows网络客户端的，一般只有在局域网中才用。 关闭此服务，将

继续阅读

CVE-2024-39929｜Exim安全绕过漏洞

发布于 作者:

CVE-2024-39929｜Exim安全绕过漏洞 alicy 信安百科 2024-07-19 17:59 0x00 前言 Exim 是基于GPL协议的开源软件，由英国剑桥大学的Philip Hazel开发。Exim 是一个MTA（邮件传输代理） ，负责邮件的路由，转发和投递。Exim可运行于绝大多数的类UNIX系统上，包括了Solaris、AIX、Linux等。 Exim和其他开源的MTA相比，

继续阅读

漏洞通告 | 已修复！Nacos RCE 漏洞

发布于 作者:

漏洞通告 | 已修复！Nacos RCE 漏洞 原创 微步情报局 微步在线研究响应中心 2024-07-19 14:31 漏洞概况 Nacos是一个动态命名和配置服务的开源项目，旨在帮助用户构建云原生应用。它提供了动态服务发现、配置管理和服务共享等基础设施，适用于各种云环境，包括私有云、混合云和公有云。 2024年7月15日，微步漏洞团队监测到Nacos远程命令执行漏洞（https://x.thr

继续阅读

工具 | Jeecg-Boot综合漏洞利用GUI

发布于 作者:

工具 | Jeecg-Boot综合漏洞利用GUI MInggongK 渗透安全团队 2024-07-18 22:21 由于微信公众号推送机制改变了，快来 星标 不再迷路，谢谢大家！ 1► 工具介绍 Jeecg综合漏洞利用工具集成了多模块漏洞利用，包括一键漏洞检测，单独选择模块检测,cmdshell模块，文件上传模块，批量检测模块等 v3.0版本内置的标准库外，在检测模块加入了okhttp的三方库，

继续阅读

JeecgBoot综合漏洞利用工具V3.0（7月11日更新）

发布于 作者:

JeecgBoot综合漏洞利用工具V3.0（7月11日更新） MInggongK 网络安全者 2024-07-17 22:01 =================================== 免责声明请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，作者不为此承担任何责任。工具来自网络，安全性自测，如有侵权请联系删

继续阅读

第四课-系统学习代码审计：命令执行漏洞讲解

发布于 作者:

第四课-系统学习代码审计：命令执行漏洞讲解 开发小鸡娃 安全随心录 2024-07-17 21:27 命令注入 命令执行漏洞是有些代码中需要调用到系统命令，当系统命令代码未对用户可控参数做过滤，则当用户能控制相和谐函数的参数的时候就可以把恶意命令把拼接正常命令中造成命令执行攻击。在Java中，命令执行漏洞主要包含两个主要方法，ProcessBuilder.start()、Runtime.getRu

继续阅读

Nacos Derby Sql注入RCE（常规出网）

发布于 作者:

Nacos Derby Sql注入RCE（常规出网） 原创 SXdysq 南街老友 2024-07-17 20:47 漏洞描述 Nacos derby存在远程代码执行漏洞，由于Alibaba Nacos部分版本中derby数据库默认可以未授权访问，恶意攻击者利用此漏洞可以未授权执行SQL语句，从而远程加载恶意构造的jar包，最终导致任意代码执行。 影响版本 nacos 2.3.2 nacos 2.

继续阅读

【IoT安全】BMC 固件中的漏洞影响 IoT 设备安全-第 1 部分

发布于 作者:

【IoT安全】BMC 固件中的漏洞影响 IoT 设备安全-第 1 部分 原创 Nozomi 车联网攻防日记 2024-07-17 19:17 在过去的一年里，Nozomi Networks 实验室对基板管理控制器（BMCs)的安全性进行了研究，特别关注工业物 联网（OT）和物联网（IoT）设备。在这个博客系列的第一部分中，我们揭示了影响基于美国 Megatrends（AMI）MegaRAC SP-

继续阅读

攻击者最快在PoC发布22分钟后实施漏洞利用

发布于 作者:

攻击者最快在PoC发布22分钟后实施漏洞利用 Bill Toulas 代码卫士 2024-07-17 18:05 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 威胁行动者在实际攻击中利用已有 PoC exp的速度很快，有时在 exp 公开发布22分钟后就实施利用。 这是Cloudflare 公司在《2024年应用安全》报告中提到的。该报告覆盖的时间范围为2023年5月至2024年3月，提出

继续阅读

演讲议题巡展 | 芯片安全终局之战—故障注入漏洞利用

发布于 作者:

演讲议题巡展 | 芯片安全终局之战—故障注入漏洞利用 KCon 黑客大会 2024-07-17 17:55 经过精心筹备与多方努力 KCon 2024 黑客大会敲定举办时间 将于8月24日-25日举办 本次大会涵盖了网安领域的不同热点话题 为了展示演讲议题风采 让大家了解更多大会情况 特此开展议题巡展 欢迎围观~ 演讲者： 尹小元 小米车联网安全专家，在智能终端安全实验室负责车联网安全工作，10余

继续阅读

大咖来了|江苏智能网联汽车创新中心：车载操作系统网络安全漏洞验证实践分享

发布于 作者:

大咖来了|江苏智能网联汽车创新中心：车载操作系统网络安全漏洞验证实践分享 谈思实验室 2024-07-17 17:53 点击上方蓝字 谈思实验室 获取更多汽车网络安全资讯 AutoSec 2024 第八届中国汽车网络安全周 9月3日-4日 9月3日-4日，「AutoSec 2024第八届中国汽车网络安全周暨第五届智能汽车数据安全展」由谈思实验室和谈思汽车主办、上海市车联网协会联合主办，连续8年与大

继续阅读

【漏洞预警】Products Filter Professional for WooCommerce存在sql注入漏洞

发布于 作者:

【漏洞预警】Products Filter Professional for WooCommerce存在sql注入漏洞 原创 聚焦网络安全情报 安全聚 2024-07-17 17:07 预警公告 严重 近日，安全聚实验室监测到 WordPress的插件中存在SQL注入漏洞 ，编号为：CVE-2024-6457，CVSS:9.8  由于对用户提供的参数转义不充分，以及对现有SQL查询缺乏充分的准备，

继续阅读