标签： XSS

GLPI htmLawedTest.php 远程命令执行漏洞 CVE-2022-35914

发布于 作者:

GLPI htmLawedTest.php 远程命令执行漏洞 CVE-2022-35914 原创 PeiQi文库 PeiQi文库 2022-10-05 13:23 漏洞描述 GLPI是一个用于IT资产管理的开源软件,用PHP编写,并在GPL许可下发布。 作为一种开源技术,任何人都可以运行,修改或开发代码。GLPI 10.0.2及之前版本存在安全漏洞，该漏洞源于PHP htmlawed 模块中 允许

继续阅读

【技术干货】CVE-2022-34916 Apache Flume 远程代码执行漏洞分析

发布于 作者:

【技术干货】CVE-2022-34916 Apache Flume 远程代码执行漏洞分析 星阑科技 2022-09-29 10:01 xxhzz @PortalLab实验室 项目介绍 Apache Flume 是一个分布式的，可靠的，并且可用于高效地收集，汇总和移动大量日志数据的软件。它具有基于流数据流的简单而灵活的体系结构。它具有可调的可靠性机制以及许多故障转移和恢复机制，并且具有健壮性和容错性

继续阅读

Cobalt Strike 远程代码执行漏洞安全风险通告

发布于 作者:

Cobalt Strike 远程代码执行漏洞安全风险通告 代码卫士 2022-09-22 17:22 奇安信CERT 致力于 第一时间 为企业级用户提供安全风险 通告 和 有效 解决方案。 安全通告 近日，奇安信CERT监测到 Cobalt Strike 远程代码执行漏洞 ，当攻击者可访问 Beacon 的监听器时，可以在连接Beacon的listener时使用错误的用户名，触发XSS，造成远程代

继续阅读

CS4.5粗略预防CVE-2022-39197 XSS RCE

发布于 作者:

CS4.5粗略预防CVE-2022-39197 XSS RCE 原创 酒零 NOVASEC 2022-09-21 22:29 △△△点击上方“蓝字”关注我们了解更多精彩 0x00 免责声明 在学习本文技术或工具使用前，请您务必审慎阅读、充分理解各条款内容。 1、本团队分享的任何类型技术、工具文章等文章仅面向合法授权的企业安全建设行为与个人学习行为，严禁任何组织或个人使用本团队技术或工具进行非法活动

继续阅读

开源CMS TYPO3中存在XSS漏洞

发布于 作者:

开源CMS TYPO3中存在XSS漏洞 Adam Bannister 代码卫士 2022-09-16 18:01 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 易受攻击的开源内容管理系统 (CMS) TYPO3的维护人员修复了位于软件更新中的一个跨站点脚本 (XSS)漏洞。 本周二，GitHhub发布安全公告指出，由于上游包masterminds/html5中存在一个解析问题，导致PHP包

继续阅读

【安全圈】800万美元可购买破解任何智能手机的0day漏洞

发布于 作者:

【安全圈】800万美元可购买破解任何智能手机的0day漏洞 安全圈 2022-09-08 19:00 关键词 0day漏洞 根据博主会杀毒的单反狗消息，800万美元可购买破解任何智能手机（安卓、苹果）的0day漏洞    与NSO集团（以色列著名间谍软件开发商）有关的案件只是冰山一角，因为公共部门运营参与者(PSOA)众多，并且拥有非常强大的网络武器。 信息安全专家vx-underground发布

继续阅读

KCon 2022议题分享：自动化API漏洞挖掘

发布于 作者:

KCon 2022议题分享：自动化API漏洞挖掘 星阑科技 2022-09-02 11:47 演讲者介绍 周阳 星阑科技安全研发工程师。具有丰富的漏洞研究及红队武器化经验，历经主机漏洞扫描、应用漏洞扫描、开源软件供应链安全跟踪以及漏洞情报管理平台等多款产品建设，曾参与发现多个linux系统安全漏洞并收到工信部及其他部委致谢。目前专注于API安全研究以及自动化应用漏洞扫描方向。 吕竭 星阑科技安全服

继续阅读

谷歌推出开源软件漏洞奖励计划，提振软件供应链安全

发布于 作者:

谷歌推出开源软件漏洞奖励计划，提振软件供应链安全 Ionut Arghire 代码卫士 2022-08-31 19:26 聚焦源代码安全，网罗国内外最新资讯！**** 编译：代码卫士 专栏·供应链安全 数字化时代，软件无处不在。软件如同社会中的“虚拟人”，已经成为支撑社会正常运转的最基本元素之一，软件的安全性问题也正在成为当今社会的根本性、基础性问题。 随着软件产业的快速发展，软件供应链也越发复杂

继续阅读

亚马逊Ring安卓app漏洞可窃取个人信息

发布于 作者:

亚马逊Ring安卓app漏洞可窃取个人信息 ang010ela 嘶吼专业版 2022-08-22 12:00 亚马逊Ring安卓app漏洞可以访问摄像头记录。 Ring 是亚马逊运行的家用安全环境产品，包含户内外监控摄像头。其中Ring安卓APP下载次数超过1000万次。Checkmarx 安全研究人员在亚马逊Ring安卓APP中发现了一个安全漏洞，攻击者利用该漏洞可以截取受害者手机中的个人数据、

继续阅读

Android APP 漏洞之战——WebView 漏洞详解

发布于 作者:

Android APP 漏洞之战——WebView 漏洞详解 随风而行aa 看雪学苑 2022-08-15 17:59 本文为看雪论坛精华文章 看雪论坛作者ID：随风而行aa 今天我们进入Android APP漏洞之战系列文章中的一个重要篇幅——WebView漏洞，我们都知道在当下App漏洞中，WebView漏洞的占比是十分巨大的，各种类型的漏洞问题层出不穷，这篇文章就带着大家一起揭开WebVie

继续阅读

实战CVE漏洞分析与防范（第一季）

发布于 作者:

实战CVE漏洞分析与防范（第一季） 看学课程 看雪学苑 2022-08-11 17:59 世界上主流软件厂商开发的软件、程序，如果被发现存在漏洞，而且有一定的影响力，那么这些漏洞信息都会被保存在一个叫做CVE的数据库中进行统一的管理。 这样一来，只要我们有某条CVE漏洞的编号，就能从CVE的官网搜索到出现漏洞的操作系统、版本号和软件等信息，从而搭建一个相同的环境，对漏洞进行研究与重现。 想要深入了

继续阅读

VMware 修复CVSS评分9.8的身份验证绕过漏洞

发布于 作者:

VMware 修复CVSS评分9.8的身份验证绕过漏洞 看雪学苑 看雪学苑 2022-08-03 17:58 8 月 2 日，虚拟化和云计算巨头 VMware 发布了一项重要的安全公告 VMSA-2022-00 21 ，通告用户修复数个在 VMware产品中发现的安全漏洞。 这些漏洞包括身份验证绕过、远程代码执行和权限提升。身份验证绕过漏洞意味着具有Workspace ONE Access、VMw

继续阅读

开源web应用中存在三个XSS漏洞，可导致系统遭攻陷

发布于 作者:

开源web应用中存在三个XSS漏洞，可导致系统遭攻陷 Jessica Haworth 代码卫士 2022-08-03 17:40 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 PT Swarm 公司的研究人员在热门的开源开发应用Evaluation CMS、FUDForum 和 GitBucket中发现了三个跨站脚本 (XSS) 漏洞，它们可导致远程代码执行后果。 传统的XSS攻击可导致攻

继续阅读

国家漏洞库CNNVD：关于Oracle 316个安全漏洞的通报

发布于 作者:

国家漏洞库CNNVD：关于Oracle 316个安全漏洞的通报 安全内参 2022-07-21 20:01 关注我们 带你读懂网络安全 近日， Oracle官方发布了多个安全漏洞的公告，其中 Oracle产品本身漏洞 85个，影响到 Oracle产品的其他厂商漏洞 231个。包括 Oracle PeopleSoft Enterprise PeopleTools 输入验证错误漏洞（ CNNVD-20

继续阅读

Pocsuite3 入门教程

发布于 作者:

Pocsuite3 入门教程 原创 404实验室 知道创宇404实验室 2022-07-13 17:13 作者：知道创宇404实验室时间：2022年7月13日 01 简介 Pocsuite3（https://pocsuite.org/） 是由知道创宇 404 实验室打造的一款基于 GPLv2 许可证开源的远程漏洞测试框架，自 2015 年开源以来，知道创宇安全研究团队持续维护至今，不断更新迭代。

继续阅读

Android漏洞之战——整体加壳原理和脱壳技巧详解

发布于 作者:

Android漏洞之战——整体加壳原理和脱壳技巧详解 随风而行aa 看雪学苑 2022-07-09 17:58 本文为看雪论坛优秀文章看雪论坛作者ID：随风而行aa 一 前言 为了帮助更加方便的进行漏洞挖掘工作，前面我们通过了几篇文章详解的给大家介绍了动态调试技术、过反调试技术、Hook技术、过反Hook技术、抓包技术等，掌握了这些可以很方便的开展App漏洞挖掘工作，而最后我们还需要掌握一定的脱壳

继续阅读

Fortinet 修复多个路径遍历漏洞

发布于 作者:

Fortinet 修复多个路径遍历漏洞 Adam Bannister 代码卫士 2022-07-08 17:43 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 Fortinet 修复了影响多款端点安全产品的多个漏洞。 Fortinet 为全球提供超过三分之一的防火墙和统一威胁管理产品，它在7月5日发布了大量防火墙和软件更新。 Fortinet 修复的漏洞包括位于 FortiDeceptor

继续阅读

澳大利亚莫纳什大学推出公开漏洞奖励计划

发布于 作者:

澳大利亚莫纳什大学推出公开漏洞奖励计划 James Walker 代码卫士 2022-07-05 18:05 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 澳大利亚莫纳什大学推出公开漏洞奖励计划，以助力维护其数字化平台的安全性。 这项新的漏洞奖励计划托管在 Bugcrowd 平台，将为合法漏洞颁发最高2500美元的奖励。奖励目标涵盖莫纳什大学的主要 web 域名和移动应用，以及该大学使用的

继续阅读

美国家安全局“酸狐狸”漏洞攻击武器平台技术分析报告

发布于 作者:

美国家安全局“酸狐狸”漏洞攻击武器平台技术分析报告 安全内参 2022-06-29 15:44 关注我们 带你读懂网络安全 美国用“酸狐狸”攻击中俄，已发现中国多家科研机构受影响！ 前情回顾 – 国家计算机病毒应急处理中心披露美国安局网络间谍装备！ 美国主战网络攻击武器曝光：世界重要信息基础设施已成美“情报站” 近日，国家计算机病毒应急处理中心对美国家安全局（NSA）“酸狐狸”漏洞攻击

继续阅读

美国国家安全局（NSA）“酸狐狸”漏洞攻击武器平台技术分析报告

发布于 作者:

美国国家安全局（NSA）“酸狐狸”漏洞攻击武器平台技术分析报告 CVERC 奇安信威胁情报中心 2022-06-29 12:51 作者：国家计算机病毒应急处理中心 以下为全文转载 近日，国家计算机病毒应急处理中心对美国家安全局（NSA）“酸狐狸”漏洞攻击武器平台（FoxAcid）进行了技术分析。该漏洞攻击武器平台是美国国家安全局（NSA）特定入侵行动办公室（TAO，也被称为“接入技术行动处”）对他

继续阅读

一个xray POC的编写全过程

发布于 作者:

一个xray POC的编写全过程 长亭安全应急响应中心 2022-06-27 18:32 序言 在刚接触安全渗透的时候，常对于各种各样庞杂的技术感到有些头皮发麻，sql注入，xss，csrf，ssrf等一众名词也让人有些望而生畏。后来在前辈的指引下认识到了sqlmap，nmap等工具，在进行了一段时间的学习后，慢慢对sqlmap的其中一个参数非常的感兴趣——m参数，也就是对文件中存在可注入的链接进

继续阅读

EXP编写学习之绕过SafeSEH

发布于 作者:

EXP编写学习之绕过SafeSEH yumoqaq 看雪学苑 2022-06-21 18:20 本文为看雪论坛优秀文章看雪论坛作者ID：yumoqaq 1 亡羊补牢 ：SafeSEH SafeSEH对异常处理的保护原理： 编译选项/SafeSEH启动，VS2003以后默认启用。 生成SafeSEH表，放在PE文件中，调用异常处理函数的时候，将地址与SafeSEH表中的地址比较。 检查异常处理链是否

继续阅读

Travis CI API 漏洞未修复，可暴露用户机密访问令牌引发供应链攻击

发布于 作者:

Travis CI API 漏洞未修复，可暴露用户机密访问令牌引发供应链攻击 Ravie Lakshmanan 代码卫士 2022-06-15 17:58 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 专栏·供应链安全 数字化时代，软件无处不在。软件如同社会中的“虚拟人”，已经成为支撑社会正常运转的最基本元素之一，软件的安全性问题也正在成为当今社会的根本性、基础性问题。 随着软件产业的快速

继续阅读

cgibin中与upnp协议有关的一些漏洞分析与复现

发布于 作者:

cgibin中与upnp协议有关的一些漏洞分析与复现 原创 winmt 看雪学苑 2022-06-13 18:01 本文为看雪论坛精华文章看雪论坛作者ID：winmt 一 前言 UPNP协议 UPNP，全称为：Universal Plug and Play，中文为：通用即插即用，是一套基于TCP/IP、UDP和HTTP的网络协议。 简单来说，就和它的名字一样，UPNP的目的就是为了在某个设备接入网

继续阅读

【漏洞通告】PHP 远程代码执行漏洞（CVE-2022-31625、CVE-2022-31626）

发布于 作者:

【漏洞通告】PHP 远程代码执行漏洞（CVE-2022-31625、CVE-2022-31626） 青藤云安全 2022-06-12 08:17 1 综述 6月9日，PHP发布安全公告，修复了两个存在于PHP中的远程代码执行漏洞。 PHP此次的漏洞，简而言之，会恶意查询服务器数据。 PHP（PHP: Hypertext Preprocessor）即“超文本预处理器”，是一种开源的通用计算机脚本语言

继续阅读

ATT&CK-Spring Framework(CVE-2022-22965)远程代码执行漏洞

发布于 作者:

ATT&CK-Spring Framework(CVE-2022-22965)远程代码执行漏洞 原创 小海 雷神众测 2022-06-07 15:00 STATEMENT 声明 由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，雷神众测及文章作者不为此承担任何责任。 雷神众测拥有对此文章的修改和解释权。如欲转载或传播此文章，必须保证此文章的完整性，包括

继续阅读