标签： 信息泄露

为何扫描工具无法检测出失效的访问控制漏洞？

发布于 作者:

为何扫描工具无法检测出失效的访问控制漏洞？ 布加迪 嘶吼专业版 2023-11-27 12:00 失效的访问控制这个漏洞类别一直跻身OWASP Top Web应用程序安全风险列表，目前已对应用程序安全构成了严重的挑战。 访问控制漏洞让用户可以访问敏感数据，并使他们能够执行超出预期权限的操作，此类漏洞的后果可能导致数据泄露、篡改甚至销毁。 本文将讨论为什么即使在漏洞扫描和评估之后失效的访问控制漏洞仍

继续阅读

CVE-2023-49103｜OwnCloud 敏感信息泄露漏洞

发布于 作者:

CVE-2023-49103｜OwnCloud 敏感信息泄露漏洞 alicy 信安百科 2023-11-26 17:17 0x00 前言 ownCloud是一个开源解决方案，可实现跨设备、跨分布式环境，安全可靠地进行文件共享及协作。 以Web服务器为基础，可在私有资源上架设个人云，可以支持一切类型的设备（如桌面，移动设备，服务器等）实现无缝互联，允许用户可建立私有有任意数量的书签夹，共享文件夹，根

继续阅读

漏洞推送｜金蝶云星空任意文件上传漏洞

发布于 作者:

漏洞推送｜金蝶云星空任意文件上传漏洞 alicy 信安百科 2023-11-26 17:17 0x00 前言 金蝶云星空是一款云端企业资源管理（ERP）软件，为企业提供财务管理、供应链管理以及业务流程管理等一体化解决方案。 0x01 漏洞描述 ScpSupRegHandler接口存在任意文件上传漏洞。攻击者可在无需登录的情况下利用此漏洞上传任意文件，最终可能导致远程执行恶意命令，控制服务器。 0x

继续阅读

CVE-2023-48796：Apache dolphinscheduler 敏感信息泄露

发布于 作者:

CVE-2023-48796：Apache dolphinscheduler 敏感信息泄露 Ots安全 2023-11-26 12:59 漏洞详情 CVE-2023-48796 被归类为“重要”严重性漏洞。它影响 Apache DolphinScheduler 版本 3.0.0 至 3.0.2。该漏洞是由于敏感信息（尤其是数据库凭据）的不当暴露而引起的。这使得未经授权的行为者能够拦截和利用这些敏感

继续阅读

【高危漏洞】启明星辰-天玥网络安全审计系统存在命令执行漏洞

发布于 作者:

【高危漏洞】启明星辰-天玥网络安全审计系统存在命令执行漏洞 moon 皓月当空w 2023-11-26 12:58 皓月当空，明镜高悬 文末有图片更好保存 （包含福利内容）~ 漏洞早知道 漏洞名称：启明星辰-天玥网络安全审计系统存在命令执行漏洞 漏洞出现时间：2023年11月26日 影响等级：高危 影响版本： 启明星辰信息技术集团股份有限公司 天玥网络安全审计系统 IBM-N2080#V6.0  

继续阅读

[高危漏洞分享] 神奇的协议文件

发布于 作者:

[高危漏洞分享] 神奇的协议文件 原创 森柒柒 森柒柒 2023-11-26 10:10 骚话内容 啊~太久没写推文竟不知道如何开头，算了！唉 这不，不是已经进入开头了吗？ 好吧~ 划了半年水，由于没有积累成体系都的挖洞知识点，不知道分享什么内容，所以这个号快成僵尸号了。于是乎趁着周日的大好时光来个秽土重生，分享下以前挖到的小漏洞吧。 故事简介 突然有一天，朋友给我推测试项目，说这个项目被人挖了挺

继续阅读

Lazarus 黑客组织利用 MagicLine4NX 软件中的0day漏洞对韩国目标进行供应链攻击

发布于 作者:

Lazarus 黑客组织利用 MagicLine4NX 软件中的0day漏洞对韩国目标进行供应链攻击 军哥网络安全读报 2023-11-26 09:00 导读 英国国家网络安全中心 (NCSC) 和韩国国家情报院 (NIS) 警告称，朝鲜 Lazarus 黑客组织利用 MagicLine4NX 软件中的 0day 漏洞对企业进行供应链攻击。 MagicLine4NX是韩国Dream Securit

继续阅读

【Web渗透】SQL注入漏洞复现

发布于 作者:

【Web渗透】SQL注入漏洞复现 Whoami 晨曦安全团队 2023-11-25 23:59 0x01 产品简介 红帆iOffice .net 从最早满足医院行政办公需求（传统OA），到目前融合了卫生主管部门的管理规范和众多行业特色应用，是目前唯一定位于解决医院综合业务管理的软件，是最符合医院行业特点的医院综合业务管理平台，是成功案例最多的医院综合业务管理软件。 0x02 漏洞概述 红帆iOff

继续阅读

CTF干货|babyserialize题目反序列化漏洞思路

发布于 作者:

CTF干货|babyserialize题目反序列化漏洞思路 原创 HaoSha。 州弟学安全 2023-11-25 18:12 0x01 前言 反序列化是将数据从序列化的形式转换回其原始对象或数据结构的过程。 在编程中，通常 将对象序列化为字节流或其他形式的数 据，以便在网络传输、存储或跨平台传递时使用。 反序列化则是将这些序列化的数据重 新还原为可操作的对象。 反序列化漏洞的危害包括： 执行任意

继续阅读

全职挖漏洞达人采访整理

发布于 作者:

全职挖漏洞达人采访整理 原创 安全路人A 军机故阁 2023-11-25 11:30 整理了采访内容如下： 个人介绍内容： 被采访人为@Rhynorater，名为 Justin Gardner， 是一名全职漏洞赏金猎人，安全方向为网络应用攻击，源代码审计，逆向分析0day，硬件/物联网设备，还有各种有趣的新的安全研究内容。github主页为https://rhynorater.github.io/

继续阅读

启明星辰-互联网行为管控存在信息泄露漏洞

发布于 作者:

启明星辰-互联网行为管控存在信息泄露漏洞 moon 皓月当空w 2023-11-25 10:52 皓月当空，明镜高悬 文末有图片更好保存 （包含福利内容）~ 漏洞早知道 漏洞名称：启明星辰天玥网络安全审计系统-互联网行为管控存在信息泄露漏洞 漏洞出现时间：2023年11月24日 影响等级：中危 影响版本： EMUI 13.0.0，EMUI 12.0.0                      

继续阅读

泛微E-cology9 browserjsp SQL注入漏洞复现 [附POC]

发布于 作者:

泛微E-cology9 browserjsp SQL注入漏洞复现 [附POC] 原创 ChinaRan404 知攻善防实验室 2023-11-25 10:27 关注本公众号 ，长期推送漏洞文章 免责声明：请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果与文章作者无关。该文章仅供学习用途使用！！

继续阅读

掌握thinkphp全漏洞(超详细看完拿捏tp)文末带工具 | 干货

发布于 作者:

掌握thinkphp全漏洞(超详细看完拿捏tp)文末带工具 | 干货 渗透安全团队 2023-11-25 10:10 文章目录 框架介绍 何为thinkphp,在哪会遇到thinkphp 识别spring 如何在实战中快速分辨thinkphp框架 漏洞列表 thinkphp漏洞全版本 漏洞环境搭建 vulhub+vulfocus(见上一篇spring) 漏洞复现 1.如何识别当前站点是否存在漏洞

继续阅读

漏洞预警 | 大华智能物联综合管理平台任意文件读取漏洞

发布于 作者:

漏洞预警 | 大华智能物联综合管理平台任意文件读取漏洞 浅安 浅安安全 2023-11-25 09:03 0x00 漏洞编号 – # 暂无 0x01 危险等级 – 高危 0x02 漏洞概述 大华智慧园区综合管理平台是一个基于智能物联技术的园区安防、办公、运营的数字化解决方案。 0x03 漏洞详情 漏洞类型： 任意文件遍历 影响： 敏感 信息泄露 简述： 大华智慧园区综合管理

继续阅读

英伟达RTX 6000 Ada中文展示，GeForce RTX 4090撤档

发布于 作者:

英伟达RTX 6000 Ada中文展示，GeForce RTX 4090撤档 原创 何威风 祺印说信安 2023-11-25 00:00 Nvidia 中文网站 继续展示工作站级RTX 6000 Ada解决方案。 RTX 6000 Ada 是该公司最强大的显卡，根据美国最新的贸易规则，其对中国（和其他一些国家）的出口受到限制。 事实上，RTX 6000 Ada 具有紧凑的风扇冷却器和 48 GB

继续阅读

【安全圈】程序员利用公司漏洞篡改ETC数据，非法获利260万余元！

发布于 作者:

【安全圈】程序员利用公司漏洞篡改ETC数据，非法获利260万余元！ 安全圈 2023-11-24 19:00 关键词 网络漏洞 上海警方接到一名来自某科技公司的员工，张女士的报案，称公司计算机系统遭到他人篡改数据，导致公司账户发生钱款损失。在对公司后台电子数据中检测异常账户时，民警发现，要通过漏洞篡改网站后台信息的难度相当大，操作者很有可能是负责管理网站后台系统的员工。 截至2022年8月，一位名

继续阅读

二进制漏洞分析-9.华为TrustZone TEE_Weaver漏洞

发布于 作者:

二进制漏洞分析-9.华为TrustZone TEE_Weaver漏洞 原创 haidragon 安全狗的自我修养 2023-11-24 07:15 华为TrustZone TEE_Weaver漏洞  二进制漏洞分析-1.华为Security Hypervisor漏洞 二进制漏洞分析-2.揭示华为安全管理程序(上) 二进制漏洞分析-3.揭示华为安全管理程序(下) 二进制漏洞分析-4.华为安全监控漏洞

继续阅读

创宇安全智脑 | 用友 U8 Cloud TaskTreeQuery SQL 注入等44个漏洞可检测

发布于 作者:

创宇安全智脑 | 用友 U8 Cloud TaskTreeQuery SQL 注入等44个漏洞可检测 创宇安全智脑 2023-11-23 19:57 创宇安全智脑是基于知道创宇16年来AI+安全大数据在真实攻防场景中的经验积累构建的下一代全场景安全智能算力平台。平台拥有海量真实攻防数据和安全大数据持续生产能力；结合面向多个实战场景的AI智能模型，持续汇聚、萃取和分析，实时输出高精准高价值威胁情报、

继续阅读

由本地文件包含所引起的RCE

发布于 作者:

由本地文件包含所引起的RCE Facundo 迪哥讲事 2023-11-23 19:52 发现端倪 在某个网络应用程序上进行长达数小时的信息收集及‘侦查’后，发现一处Cookie有些异常。 PHPSESSID — PHPSESSID Cookie是PHP原生的，它使网站能够存储序列化的状态数据。它用于建立用户会话并通过临时cookie传递状态数据，通常称为会话cookie（在关闭浏览器时过期）。通

继续阅读

不要总想搞大新闻，这个漏洞不是核弹！

发布于 作者:

不要总想搞大新闻，这个漏洞不是核弹！ 原创 微步情报局 微步在线研究响应中心 2023-11-23 17:01 01 漏洞概况**** Chromium是一个开源的网页浏览器项目，是许多流行浏览器的基础，包括但不限于Google Chrome、Safari、Microsoft Edge和Opera。libxslt是一个基于libxml2的xslt库，它用于转换xml文档。在Chromium中，当需

继续阅读

如何有效避免7个常见的身份验证漏洞

发布于 作者:

如何有效避免7个常见的身份验证漏洞 布加迪 嘶吼专业版 2023-11-23 12:00 引言 随着网络威胁的数量不断增加，了解学习可能会危及到客户在线身份的常见身份验证漏洞就显得格外重要。如果需要在网上满足客户的需求，并使用传统的身份验证机制时，就要对身份验证漏洞保持警惕。 只有了解了这些漏洞，才可以更有效地保护自己、客户和在线资产远离网络攻击。 了解身份验证漏洞：它们如何出现并构成威胁？ 网络

继续阅读

本周更新：syscall fuzz原理分析 | 系统0day安全-Windows平台漏洞挖掘

发布于 作者:

本周更新：syscall fuzz原理分析 | 系统0day安全-Windows平台漏洞挖掘 看雪课程 看雪学苑 2023-11-21 17:59 本周更新： 漏洞挖掘技能是一项非常重要的技能，它可以帮助企业发现并修复系统中的漏洞，从而提高系统的安全性，保护企业的重要数据和资产。同时，它也能帮助企业降低安全风险，避免因为漏洞被攻击而导致的数据泄露、系统瘫痪等问题。 此外，漏洞挖掘技能的学习和实践可

继续阅读