标签： 代码

速修复！Fortra GoAnywhere MFT 中存在严重的认证绕过漏洞

发布于 作者:

速修复！Fortra GoAnywhere MFT 中存在严重的认证绕过漏洞 Sergiu Gatlan 代码卫士 2024-01-24 17:53 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 Fortra 提醒称 GoAnywhere MFT 7.4.1之前的版本中存在一个新的认证绕过漏洞，可导致攻击者创建新的管理员用户。 GoAnywhere MFT 用于保护与客户以及业务合作伙伴之

继续阅读

人工智能供应链安全专题–ChatGPT 中的高级 API 攻击以及AI供应链漏洞

发布于 作者:

人工智能供应链安全专题–ChatGPT 中的高级 API 攻击以及AI供应链漏洞 渊龙Sec安全团队 2024-01-24 12:24 01 简要说明 人工智能和人工智能的安全性正在以惊人的速度发展，AI模型 供应链中使用的工具，用于构建机器学习模型，会使 AI 应用程序容易受到独特的安全威胁。 这些工具是开源的，这意味着它们开箱即用时可能存在漏洞，这些漏洞可直接导致完整的系统接管，例

继续阅读

.NET 分享一款用于命令执行的免杀WebShell

发布于 作者:

.NET 分享一款用于命令执行的免杀WebShell 专攻.NET安全的 dotNet安全矩阵 2024-01-24 08:35 01 免杀的WebShell 在.NET领域可以将这个漏洞修改成Webshell，巧妙地利用了base64编码和yso生成的特性，成功实现了免杀。 通过构造特定的HTTP请求，可以执行恶意命令，例如启动系统进程（如winver），从而在目标服务器上执行攻击者所期望的操作

继续阅读

CVE-2024-21642

发布于 作者:

CVE-2024-21642 原创 fgz AI与网安 2024-01-24 07:00 免 责 申 明 ：本文内容为学习笔记分享，仅供技术学习参考，请勿用作违法用途，任何个人和组织利用此文所提供的信息而造成的直接或间接后果和损失，均由使用者本人负责，与作者无关！！！ 应粉丝要求小编将往期poc和我在网上收集的一些poc打包分享到网盘了。同时分享了大量电子书和护网常用工具，在文末免费获取。 01

继续阅读

广联达企业管理系统DataFile.aspx存在外部实体注入漏洞(新day)-漏洞挖掘

发布于 作者:

广联达企业管理系统DataFile.aspx存在外部实体注入漏洞(新day)-漏洞挖掘 原创 漏洞挖掘 渗透安全HackTwo 2024-01-24 00:01 0x01 产品简介 广联达科技股份有限公司作为数字建筑平台服务商,围绕工程项目的全生命周期,为客户提供数字化软硬件产品、解决方案及相关服务。公司业务面向建设方、设计方、制造厂商、供应商、施工方、运营方等。 这里 我推荐利用ZoomEye搜

继续阅读

【漏洞预警】GoAnywhere MFT 存在未授权创建管理员风险CVE-2024-0204

发布于 作者:

【漏洞预警】GoAnywhere MFT 存在未授权创建管理员风险CVE-2024-0204 cexlife 飓风网络安全 2024-01-23 23:51 漏洞描述: GoAnywhere MFT 是一个管理文件传输的解决方案,GoAnywhere MFT 7.4.1之前版本中,未经过身份验证的攻击者可通过 Administration Portal 创建管理员用户。 影响范围:goanywhe

继续阅读

实战 | 记一次授权令牌中SQL注入漏洞挖掘​

发布于 作者:

实战 | 记一次授权令牌中SQL注入漏洞挖掘​ 迪哥讲事 2024-01-23 23:43 记一次授权令牌中SQL注入漏洞挖掘 今天在这篇文章中，我将分享一篇关于使用授权Header（Authorization Headers token）的 SQL 注入的文章。 Authorization Headers token的一些介绍， => 授权令牌由服务器生成和签名，用于通过唯一令牌验证用户。

继续阅读

【漏洞复现】Confluence 远程代码执行漏洞(CVE-2023-22527)

发布于 作者:

【漏洞复现】Confluence 远程代码执行漏洞(CVE-2023-22527) 原创 xia0chen 安全攻防屋 2024-01-23 23:10 免责声明：文章来源互联网收集整理，请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果与文章作者无关。该文章仅供学习用途使用。 0X00 漏洞描

继续阅读

Atlassian Confluence存在远程代码执行漏洞（CVE-2023-22527） 附POC软件

发布于 作者:

Atlassian Confluence存在远程代码执行漏洞（CVE-2023-22527） 附POC软件 南风徐来 南风漏洞复现文库 2024-01-23 21:38 免责声明：请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果与文章作者无关。该文章仅供学习用途使用。 大家关注一下我的另外一个

继续阅读

资产梳理漏洞检测工具 – SiftScan

发布于 作者:

资产梳理漏洞检测工具 – SiftScan GSDK GSDK安全团队 2024-01-23 20:07 01 项目地址 https://github.com/ExpLangcn/SiftScan 02 项目介绍 SiftScan是一个集成资产识别、资产梳理、资产收集、弱点检测、漏洞检测等的工具。它致力于提高红蓝对抗/脆弱性赏金的效率。 使用参数 [SiftScan] 致力于提高红色和

继续阅读

苹果修复2024年遭利用的第1个0day漏洞

发布于 作者:

苹果修复2024年遭利用的第1个0day漏洞 Sergiu Gatlan 代码卫士 2024-01-23 18:28 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 苹果发布安全更新，修复了今年的第一个遭利用 0day 漏洞，影响 iPhone、Mac 和 Apple TV等。 该漏洞的编号是CVE-2024-23222，是WebKit 混淆漏洞，可用于在目标设备上获得代码执行权限。打开恶意

继续阅读

揭秘LIVE勒索软件利用IP-Guard漏洞的技战术

发布于 作者:

揭秘LIVE勒索软件利用IP-Guard漏洞的技战术 原创 威胁情报中心 奇安信威胁情报中心 2024-01-23 17:45 概述 奇安信威胁情报中心观察到一伙较为勤奋的勒索运营商，工作时间主要在周末，可以在物理上绕过安全人员对告警的发现。周六的时候使用一些Nday漏洞进行入侵，全天无休的进行内网信息收集，控制机器数量评估，并在周日晚上控制木马批量投递勒索软件，为了给第二天要上班的受害者一个“惊

继续阅读

漏洞通告|亿赛通 新一代电子文档安全管理系统 远程代码执行漏洞

发布于 作者:

漏洞通告|亿赛通 新一代电子文档安全管理系统 远程代码执行漏洞 原创 微步情报局 微步在线研究响应中心 2024-01-23 15:58 01 漏洞概况**** 亿赛通新一代电子文档安全管理系统（简称：CDG）是一款融合文档加密、数据分类分级、访问控制、关联分析、大数据分析、智能识别等核心技术的综合性数据智能安全产品。微步漏洞团队通过“X 漏洞奖励计划”获取到亿赛通新一代电子文档安全管理系统远程代

继续阅读

CVE-2024-0738漏洞挖掘过程学习

发布于 作者:

CVE-2024-0738漏洞挖掘过程学习 原创 fgz AI与网安 2024-01-22 07:03 免 责 申 明 ：本文内容为学习笔记分享，仅供技术学习参考，请勿用作违法用途，任何个人和组织利用此文所提供的信息而造成的直接或间接后果和损失，均由使用者本人负责，与作者无关！！！ 应粉丝要求小编将往期poc和我在网上收集的一些poc打包分享到网盘了。同时分享了大量电子书和护网常用工具，在文末免费

继续阅读

用友portal接口存在任意文件读取漏洞(新)-漏洞挖掘

发布于 作者:

用友portal接口存在任意文件读取漏洞(新)-漏洞挖掘 原创 漏洞挖掘 渗透安全HackTwo 2024-01-22 00:02 0x01 产品简介    ufida用友财务软件nc好会计，畅捷通旗下集成财务管理必备利器 畅捷通是用友集团的成员企业,致力于为企业提供专业高效的财务管理解决方案。这里 我推荐利用ZoomEye搜索引擎发现影响资产6000+ 。 声明**** 请自行搭建环境进行漏洞测

继续阅读

华夏ERP getAllList账号密码泄露-CVE-2024-0490

发布于 作者:

华夏ERP getAllList账号密码泄露-CVE-2024-0490 小白菜安全 小白菜安全 2024-01-21 18:25 免责声明 该公众号主要是分享互联网上公开的一些漏洞poc和工具， 利用本公众号所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，本公众号及作者不为此承担任何责任，一旦造成后果请自行承担！如果本公众号分享导致的侵权行为请告知，我们会立即删除并道歉。

继续阅读

新骗术，警惕！|国家漏洞库CNNVD：关于Oracle多个安全漏洞的通报

发布于 作者:

新骗术，警惕！|国家漏洞库CNNVD：关于Oracle多个安全漏洞的通报 黑白之道 2024-01-21 17:23 新骗术，警惕！ 网上订购了往返机票 出发后收到短信 需要改签 信以为真的市民 提供了银行账号、密码等信息 “改签”完了卡上的钱 就没了 一、骗术揭秘 “机票改签”诈骗常分三步走： 01 临行前一天收到“航班取消”短信 外省某地市民刘先生突然收到一条短信：“尊敬的某某旅客，您预定的某

继续阅读

漏洞复现-cellinx 摄像机 uac.cgi 未授权添加用户漏洞（附exp）

发布于 作者:

漏洞复现-cellinx 摄像机 uac.cgi 未授权添加用户漏洞（附exp） Yi安全 2024-01-21 12:41 由于微信公众号推送机制改变了，快来星标不再迷路，谢谢大家！ 免责声明 本文章仅用于信息安全防御技术分享，因用于其他用途而产生不良后果,作者不承担任何法律责任，请严格遵循中华人民共和国相关法律法规，禁止做一切违法犯罪行为。 文 章中敏感信息均 已做多层打马处理。 传播、利用本

继续阅读

从webpack开始发现的漏洞大礼包

发布于 作者:

从webpack开始发现的漏洞大礼包 aoteman 白帽子左一 2024-01-21 12:00 前言 信息收集贯穿渗透测试的全过程 webpack发现后台地址 日常SRC发现一个比较偏僻的域名，很有可能存在漏洞。git搜域名没找到源码。顺手翻了下js，发现webpack打包的源码，然后赶紧去搜了搜这个怎么利用，发现主要是用来找里面的接口，尝试未授权的思路。这个站点的webpack没有发现什么能

继续阅读

SpringBlade export-user SQL 注入漏洞

发布于 作者:

SpringBlade export-user SQL 注入漏洞 原创 fgz AI与网安 2024-01-21 09:50 免 责 申 明 ：本文内容为学习笔记分享，仅供技术学习参考，请勿用作违法用途，任何个人和组织利用此文所提供的信息而造成的直接或间接后果和损失，均由使用者本人负责，与作者无关！！！ 01 — 漏洞名称 SpringBlade export-user SQL 注入漏洞 02 —

继续阅读

2024最新AWVS/Acunetix Premium v24.1.24高级版漏洞扫描器Windows/Linux下载

发布于 作者:

2024最新AWVS/Acunetix Premium v24.1.24高级版漏洞扫描器Windows/Linux下载 原创 城北 渗透安全HackTwo 2024-01-21 08:35 前言 Acunetix Premium 是一种 Web 应用程序安全解决方案，用于管理多个网站、Web 应用程序和 API 的安全。集成功能允许您自动化 DevOps 和问题管理基础架构。 Acunetix P

继续阅读

CVE-2023-46226 Apache iotdb远程代码执行漏洞

发布于 作者:

CVE-2023-46226 Apache iotdb远程代码执行漏洞 七彩安全研究院 WIN哥学安全 2024-01-20 22:19 免责声明： 由于传播、利用本公众号所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号及作者不为此承担任何责任，一旦造成后果请自行承担！如有侵权烦请告知，我们会立即删除并致歉。谢谢！ 项目地址 https://iotdb.apache.o

继续阅读

叮～你有新的速递！CVE-2024-0305 RCE漏洞（附EXP）

发布于 作者:

叮～你有新的速递！CVE-2024-0305 RCE漏洞（附EXP） 冯宝宝 哪都通安全 2024-01-20 21:43 0x01 前言 Ncast盈可视高清智能录播系统 存在RCE漏洞 ，攻击者可以利用此漏洞执行任意命令 ，执行任意命令 ，通过该漏洞可以获取服务器权限 。 0x02 影响平台 Ncast 平台 0x03 漏洞复现 搜索语法 icon_hash="-1253433910

继续阅读

CloudPanel makefile接口存在远程命令执行漏洞CVE-2023-35885 附POC软件

发布于 作者:

CloudPanel makefile接口存在远程命令执行漏洞CVE-2023-35885 附POC软件 南风徐来 南风漏洞复现文库 2024-01-20 21:04 免责声明：请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果与文章作者无关。该文章仅供学习用途使用。 大家关注一下我的另外一个公

继续阅读

【安全圈】UEFI启动固件曝出大量漏洞，数百万台计算机面临数据泄漏风险

发布于 作者:

【安全圈】UEFI启动固件曝出大量漏洞，数百万台计算机面临数据泄漏风险 安全圈 2024-01-20 19:01 关键词 数据泄漏 不久前，安全公司Quarkslab揭示了一系列影响UEFI固件（负责启动操作系统的核心软件）的九个安全漏洞，这一组漏洞被合称为Pixie Fail。这些九个漏洞都存在于TianoCoreEFI开发套件II(EDK II)中，它们的利用可能导致远程代码执行、拒绝服务(D

继续阅读

【安全圈】国家漏洞库CNNVD：关于Oracle多个安全漏洞的通报

发布于 作者:

【安全圈】国家漏洞库CNNVD：关于Oracle多个安全漏洞的通报 安全圈 2024-01-20 19:01 关键词 安全漏洞 近日，Oracle官方发布了多个安全漏洞的公告，其中Oracle产品本身漏洞89个，影响到Oracle产品的其他厂商漏洞169个。包括Oracle Financial Services Applications 安全漏洞（CNNVD-202401-1551、CVE-202

继续阅读