标签： 代码

在野漏洞的应急响应流程

发布于 作者:

在野漏洞的应急响应流程 原创 裴伟伟 洞源实验室 2024-08-23 20:03 许多时候，对于负责安全工作又不太擅长安全漏洞技术的人员而言，如何应对突发漏洞是工作中主要的难点，这里的突发漏洞指的是两类：一类是通过新闻、咨询推送，被社会舆论所有关注的CVE漏洞，比如前段时间所谓的核弹级别Windows Server漏洞，一类是没有引起足够社会关注，但又在安全行业流传的0-day漏洞，但也仅限于传

继续阅读

思科修复由NSA报送的两个高危漏洞

发布于 作者:

思科修复由NSA报送的两个高危漏洞 Ionut Arghire 代码卫士 2024-08-23 18:19 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 本周三，思科修复了多款产品中的多个漏洞，其中一个是位于企业协作解决方案中的高危漏洞CVE-2024-20375。 CVE-2024-20375是一个高危漏洞（CVSS评分8.6），影响思科 Unified Communications M

继续阅读

SolarWinds 修复 Web Help Desk 中的硬编码凭据漏洞

发布于 作者:

SolarWinds 修复 Web Help Desk 中的硬编码凭据漏洞 Sergiu Gatlan 代码卫士 2024-08-23 18:19 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 SolarWinds 为一个严重的 Web Help Desk 漏洞发布热修复方案。该漏洞可导致攻击者使用硬编码凭据登录到未修复系统中。 Web Help Desk (WHD) 是一款IT帮助桌面软

继续阅读

重庆银行漏洞扫描与基线核查系统项目招标

发布于 作者:

重庆银行漏洞扫描与基线核查系统项目招标 点击关注-> 智探AI应用 2024-08-23 18:12 招标条件 本重庆银行（新）漏洞扫描与基线核查系统项目已由项目审批/核准/备案机关批准，项目资金为自筹资金57万元；招标人为重庆银行股份有限公司。本项目已具备招标条件，现进行公开招标。 2.项目概况和招标范围 规模：重庆银行（新）漏洞扫描与基线核查系统项目，采购预算：57 万元。 范围：本招标

继续阅读

【8/23特辑】今日热点漏洞，你排查了没？

发布于 作者:

【8/23特辑】今日热点漏洞，你排查了没？ 安恒研究院 安恒信息CERT 2024-08-23 18:06 漏洞导览 · 赛蓝企业管理系统存在SQL注入漏洞 · 金和OA存在SQL注入漏洞 · 东胜物流软件存在SQL注入漏洞 · 金和OA存在SQL注入漏洞 · 汇智企业资源管理系统存在文件上传漏洞 漏洞概况 在当前网络攻防演练中，安恒信息CERT正紧密关注近期曝光的安全漏洞，持续进行监测和深入梳理

继续阅读

模糊测试平台SFUZZ V3.4惊喜升级 | 测试协议数突破200+，漏洞挖掘更全面

发布于 作者:

模糊测试平台SFUZZ V3.4惊喜升级 | 测试协议数突破200+，漏洞挖掘更全面 原创 小安君 开源网安 2024-08-23 17:52 近日，开源网安模糊测试工具SFUZZ迎来V3.4版本的更新， 加强了协议覆盖范围以及协议模糊测试监视器能力，可测试协议数量超过200+ ，并提升了测试管理精度，让SFUZZ持续高水准地帮助客户挖掘未知漏洞，更好地为车联网、工业互联网、通信等行业客户提升产品

继续阅读

漏洞预警 点企来 客服系统 getwaitnum sql注入漏洞

发布于 作者:

漏洞预警 点企来 客服系统 getwaitnum sql注入漏洞 by 融云安全-sm 融云攻防实验室 2024-08-23 17:49 0x01 阅读须知 融云安全的技术文章仅供参考，此文所提供的信息只为网络安全人员对自己所负责的网站、服务器等（包括但不限于）进行检测或维护参考，未经授权请勿利用文章中的技术资料对任何计算机系统进行入侵操作。利用此文所提供的信息而造成的直接或间接后果和损失，均由使

继续阅读

关于Windows远程桌面许可服务存在远程代码执行漏洞的安全公告

发布于 作者:

关于Windows远程桌面许可服务存在远程代码执行漏洞的安全公告 网络靖安司CSIZ 2024-08-23 17:00 安全公告编号: CNTA-2024-0011 2024年8月9日，国家信息安全漏洞共享平台（CNVD）收录了Windows远程桌面许可服务远程代码执行漏洞（ CNVD-2024-34918 ，对应CVE-2024-38077）。未经身份认证的攻击者可利用漏洞远程执行代码，获取服务

继续阅读

CVE-2024-38856：Apache OFBiz远程代码执行漏洞

发布于 作者:

CVE-2024-38856：Apache OFBiz远程代码执行漏洞 宁云志科技 2024-08-23 16:08 关注我们❤️，添加星标🌟，一起学安全！作者：hexixi@Timeline Sec 本文字数：3813阅读时长：2～4mins声明：仅供学习参考使用，请勿用作违法用途，否则后果自负 0x01 简介 Apache OFBiz 是一个开源 ERP 系统，可帮助企业自动化和集成会计、人力

继续阅读

钓客服、打漏洞……钓鱼攻击或进入最后的疯狂

发布于 作者:

钓客服、打漏洞……钓鱼攻击或进入最后的疯狂 原创 ThreatBook 微步在线 2024-08-23 14:46 随着外围打点变得越来越困难，社工钓鱼的比例变的越来越高。 微步对近一个月的大量钓鱼攻击和数千种木马样本做了数据分析，呈现出以下特点:  社工欺骗篇 钓鱼主题：通知、简历依旧领先，但针对性有所增强 通知、简历、招聘、薪酬等相关字眼，历来都是钓鱼攻击最常用的鱼饵。与此同时，为达到更强的欺

继续阅读

山石网科：关于网传WAF漏洞说明

发布于 作者:

山石网科：关于网传WAF漏洞说明 原创 优质可靠的 山石网科新视界 2024-08-22 23:54 山石网科安全公告 尊敬的用户： 您好！ 近日，山石网科产品安全事件响应团队（PSIRT）接到了关于山石网科WAF产品潜在安全漏洞的报告。经过我司技术团队深入分析，确认此漏洞影响的版本范围为5.5R6-2.6.7至5.5R6-2.8.13。 该漏洞已在2022年8月发布的WAF 5.5R6-2.8.

继续阅读

【漏洞预警】山石网科应用防火墙WAF未授权命令注入漏洞

发布于 作者:

【漏洞预警】山石网科应用防火墙WAF未授权命令注入漏洞 cexlife 飓风网络安全 2024-08-22 23:32 漏洞详情:监测到山石网科发布安全公告,修复了山石网科应用防火墙（WAF）中存在的未授权命令注入漏洞,恶意攻击者可通过构造恶意请求,拼接命令执行任意代码,控制服务器。修复方案:官方已针对此漏洞发布安全公告和修复版本,受影响用户可通过山石网科官方渠道获取相关产品的更新信息。受影响版本

继续阅读

攻防过半：最能打的竟然不是0day？

发布于 作者:

攻防过半：最能打的竟然不是0day？ 原创 ThreatBook 微步在线 2024-08-22 20:04 攻防大战过半，赛博世界虽未火力全开，但依旧波诡云谲，充满刀光剑影。话不多 说，来看看过去一个月，有哪些新的攻击手段和趋势： 攻击木马 CS超90%，Linux新型特马增加 微步云沙箱S首月捕获CobaltStrike样本 6000+，红队工具样本1500+。 攻击木马仍以CobaltStr

继续阅读

「漏洞复现」同享人力资源管理系统-TXEHR V15 SFZService.asmx SQL注入漏洞

发布于 作者:

「漏洞复现」同享人力资源管理系统-TXEHR V15 SFZService.asmx SQL注入漏洞 冷漠安全 冷漠安全 2024-08-22 19:17 0x01 免责声明 免责声明 请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，作者不为此承担任何责任。工具来自网络，安全性自测，如有侵权请联系删除。本次测试仅供学习使

继续阅读

某系统任意命令执行漏洞

发布于 作者:

某系统任意命令执行漏洞 原创 儒道易行 儒道易行 2024-08-22 19:17 我举手向苍穹，并非一定要摘星取月，我只是需要这个向上的、永不臣服的姿态。 漏洞描述 某系统中的网络测试模块中存在命令执行漏洞，可通过命令拼接执行任意命令 漏洞实战 访问漏洞url： 登录后台(存在访客用户默认账号密码 guest/guest)： 使用 ; 命令拼接执行任意命令： 漏洞利用poc： 漏洞证明 文笔生疏

继续阅读

Litespeed曝高速缓存漏洞，威胁数百万WordPress网站

发布于 作者:

Litespeed曝高速缓存漏洞，威胁数百万WordPress网站 小薯条 FreeBuf 2024-08-22 19:02 近日，有研究人员在插件的用户模拟功能中发现了未经身份验证的权限升级漏洞 (CVE-2024-28000)，该漏洞是由 LiteSpeed Cache 6.3.0.1 及以下版本中的弱散列检查引起的。这个漏洞可能会让攻击者在创建恶意管理员账户后接管数百万个网站。 LiteSp

继续阅读

【漏洞预警】Google Chrome V8 类型混淆漏洞（CVE-2024-7971）

发布于 作者:

【漏洞预警】Google Chrome V8 类型混淆漏洞（CVE-2024-7971） 原创 聚焦网络安全情报 安全聚 2024-08-22 19:01 高 危 公 告 近日，安全聚实验室监测到 Google Chrome V8 存在类型混淆漏洞，编号为：CVE-2024-7971，漏洞评分：8.8  此漏洞允许攻击者通过诱导受害者访问恶意HTML页面，导致浏览器崩溃、信息泄露或执行任意代码。

继续阅读

魔形女再袭？最新Android通杀漏洞CVE-2024-31317分析与利用研究

发布于 作者:

魔形女再袭？最新Android通杀漏洞CVE-2024-31317分析与利用研究 Flanker Flanker论安全 2024-08-22 18:56 摘要 本文分析了CVE-2024-31317这个Android用户态通杀漏洞的起因，并分享了笔者的利用研究和方法。通过这个漏洞，我们可以获取任意uid的权限，近似于突破Android沙箱获取任意app的权限。这个漏洞具有类似于笔者当年发现的 魔形

继续阅读

某户oa sql注入漏洞后续利用（部分）

发布于 作者:

某户oa sql注入漏洞后续利用（部分） goddemon goddemon的小屋 2024-08-22 18:39 前言： 有朋友在 问，也恰好有空，那就写一篇分享下吧。 这个oa网上遇到的poc的话，大部分情况是sql没修，权限绕过修复了导致之前爆出去的上传漏洞打不了。  但是可以利用前台的sql注入dump出密码，进而去打。 正文： 这里只给一个pic.jsp 万户的数据库账户表默认为tMa

继续阅读

SourceCheck V3.5焕新登场 | 恶意代码检测与组件版本兼容分析能力全面升级

发布于 作者:

SourceCheck V3.5焕新登场 | 恶意代码检测与组件版本兼容分析能力全面升级 开源网安 2024-08-22 18:15 开源组件安全及合规管理平台SourceCheck，可对企业第三方组件进行安全分析与管控，避免软件带病上线。近日， SourceCheck V3.5焕新登场，提升恶意代码检测与批量检测水平、强化组件版本兼容能力、打造可视化漏洞评分体系 ，助力企业提升开源治理能力，进一

继续阅读

车载可用摄像头漏洞研究

发布于 作者:

车载可用摄像头漏洞研究 谈思实验室 2024-08-22 18:07 点击上方蓝字 谈思实验室 获取更多汽车网络安全资讯 01 硬件探索 由于没有外壳与系统进行交互，也没有明文固件可供分析，我们不得不借助内存转储来进行任何工作。该型号内部由 2 块 PCB 组成，有屏蔽罩隐藏芯片组。拆除后，可以识别芯片组制造商和型号。SoC 是赛普拉斯（现为英飞凌）CYW43012，辅以 OA00804-B56G

继续阅读

GitHub Enterprise Server 中存在严重的认证漏洞

发布于 作者:

GitHub Enterprise Server 中存在严重的认证漏洞 Ryan Naraine 代码卫士 2024-08-22 17:58 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 GitHub 紧急修复了位于 GitHub Enterprise Server 产品中的三个安全缺陷，并提醒称黑客可利用其中一个漏洞获得站点管理员权限。 其中最严重的是CVE-2024-6800，可导致攻

继续阅读

谷歌紧急修复今年第9个已遭利用0day

发布于 作者:

谷歌紧急修复今年第9个已遭利用0day Sergiu Gatlan 代码卫士 2024-08-22 17:58 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 谷歌发布Chrome 紧急更新，修复了一个已遭利用的0day漏洞 (CVE-2024-7971)。 该漏洞是一个高危0day漏洞，由 Chrome V8 JavaScript 引擎中的一个类型混淆弱点引发。微软威胁情报中心和微软安全响

继续阅读

【在野利用】Google Chrome V8 类型混淆漏洞(CVE-2024-7971)安全风险通告

发布于 作者:

【在野利用】Google Chrome V8 类型混淆漏洞(CVE-2024-7971)安全风险通告 奇安信 CERT 2024-08-22 17:48 ●  点击↑蓝字关注我们，获取更多安全风险通告 漏洞概述 漏洞名称 Google Chrome V8 类型混淆漏洞 漏洞编号 QVD-2024-37591,CVE-2024-7971 公开时间 2024-08-21 影响量级 千万级 奇安信评级

继续阅读

漏洞扫描工具 — SBScan

发布于 作者:

漏洞扫描工具 — SBScan 橘猫学安全 2024-08-22 13:14 0x01 工具介绍 甜心宝贝是一款支持弱口令爆破的内网资产探测漏洞扫描工具，集成了Xray与Nuclei的Poc。主要功能：内网资产探测、通用漏洞扫描、弱口令爆破。 0x02 安装与使用 1、调高探测与扫描并发 ./SbScan -h 192.168.0.0/16 -wsh 500 –wsp 500 2、

继续阅读

帆软报表 channel 反序列化漏洞分析与利用

发布于 作者:

帆软报表 channel 反序列化漏洞分析与利用 泾弦安全 泾弦安全 2024-08-22 12:50 国家利益 高于一切 🔥师傅您好： 为了确保您不错过我们的最新网络安全资讯、技术分享和前沿动态，请将我们设为星标🌟！ 这样，您就能轻松追踪我们的每一篇精彩内容，与我们一起共筑网络安全防线！ 感谢您的支持与关注！ 💪 免责声明：文章所涉及内容，仅供安全研究教学使用，由于传播、利用本文所提供的信息而造

继续阅读

iOS 文本字符串错误：几个字符可能会导致 iPhone 崩溃（可以复现成功）

发布于 作者:

iOS 文本字符串错误：几个字符可能会导致 iPhone 崩溃（可以复现成功） flyme 独眼情报 2024-08-22 11:55 iOS 系统中经常会出现一些会导致系统崩溃的神秘代码，通常这些神秘代码并不会带来安全隐患，因为攻击者无法远程在用户的 iPhone 上输入这些代码。 最新的神秘代码是 “”:: 如果用户尝试在 iPhone 的 Spotlight 搜索或

继续阅读