标签： 信息泄露

网络入侵新态势：凭证窃取与边界漏洞利用激增，钓鱼攻击持续衰退

发布于 作者:

网络入侵新态势：凭证窃取与边界漏洞利用激增，钓鱼攻击持续衰退 黑白之道 2025-05-02 14:26 根据 Verizon 和谷歌旗下 Mandiant 的独立报告数据，网络犯罪分子的初始入侵手段正在发生显著转变。Mandiant 事件响应团队指出，攻击者更倾向于利用目标环境中现有工具，而非构建新恶意软件或配置漏洞利用后工具。 01 入侵手段演变趋势 Mandiant 调查显示，2024年漏洞

继续阅读

从代理到后门：Mihomo Party漏洞直通SYSTEM权限，你的设备已经在裸奔。

发布于 作者:

从代理到后门：Mihomo Party漏洞直通SYSTEM权限，你的设备已经在裸奔。 原创 RCS-TEAM安全团队 小白嘿课 2025-05-02 14:17 PART.01 免责声明 RCS-TEAM作为独立安全实验室，于2025年4月发现Mihomo Party存在未公开本地提权0day漏洞。根据《漏洞披露国际准则》，我方已提前通过多途径联系开发团队，但未获有效回应。基于漏洞已遭野外利用且百

继续阅读

信息安全漏洞周报【第020期】

发布于 作者:

信息安全漏洞周报【第020期】 零零捌信安观察 银天信息 2025-05-02 11:13 点击蓝字 关注我们 零零捌信安观察近期注意到，国家信息安全漏洞共享平台（CNVD）及国家信息安全漏洞库（CNNVD）等权威机构发布了最新的安全公告。经过我们团队的分析和筛查，我们收录了以下被认定为风险的安全漏洞信息。 目前，相关官方机构已经发布了针对这些安全漏洞的补丁和修复方案。我们建议相关用户和组织及时关

继续阅读

CVE-2025-31324｜SAP Netweaver代码执行漏洞（POC）

发布于 作者:

CVE-2025-31324｜SAP Netweaver代码执行漏洞（POC） alicy 信安百科 2025-05-02 02:20 0x00 前言 SAP NetWeaver是基于专业标准的集成化应用平台，能够大幅度降低系统整合的复杂性。其组件包括门户、应用服务器、商务智能解决方案以及系统整合和数据整合技术。 0x01 漏洞描述 SAP NetWeaver Visual Composer Me

继续阅读

CVE-2025-32432｜Craft CMS反序列化代码执行漏洞（POC）

发布于 作者:

CVE-2025-32432｜Craft CMS反序列化代码执行漏洞（POC） 信安百科 2025-05-02 02:20 0x00 前言 Craft CMS是一个开源的内容管理系统，它专注于用户友好的内容创建过程，可以用来创建个人或企业网站也可以搭建企业级电子商务系统。 Craft界面简洁优雅，逻辑清晰明了，是一个高度自由，高度自定义设计的平台。虽然不需要专业的编程知识，要对模板语法有所了解才能

继续阅读

一文详述XSS漏洞

发布于 作者:

一文详述XSS漏洞 船山信安 2025-05-01 16:00 xss 漏洞介绍 XSS 攻击全称跨站脚本攻击，是为不和层叠样式表(Cascading Style Sheets, CSS) 的缩写混淆，故将跨站脚本攻击缩写为 XSS。攻击者利用浏览器的动态展示数据功能，在HTML页面里嵌入恶意代码。当用户浏览该页时，这些潜入在HTML中的恶意代码会被执行，用户浏览器被攻击者控制，从而达到攻击者的特

继续阅读

从IBM《2025年X-Force威胁情报指数报告》看安全文化的必要性

发布于 作者:

从IBM《2025年X-Force威胁情报指数报告》看安全文化的必要性 原创 HardyXie 超安全 2025-05-01 05:38 IBM 于近期发布了《2025年 X-Force威胁情报指数 报告》，该报告 基于对 130多个国家或地区每天监控超过1,500亿个安全事件所获得的洞察分析和观察结果 。深入 了解攻击者的策略对于保护 组织 的员工、数据和基础设施至关重要。本文将透过报告探析攻击

继续阅读

AirPlay 协议中易受蠕虫攻击的零点击远程代码执行 (RCE) 漏洞使 Apple 和 IoT 设备面临风险

发布于 作者:

AirPlay 协议中易受蠕虫攻击的零点击远程代码执行 (RCE) 漏洞使 Apple 和 IoT 设备面临风险 Ots安全 2025-05-01 04:17 Oligo Security Research 发现 Apple 的 AirPlay 协议和 AirPlay 软件开发工具包 (SDK) 中存在一组新的漏洞，第三方供应商使用该工具包将 AirPlay 集成到第三方设备中。 这些漏洞会导致一

继续阅读

紧急！朝鲜Kimsuky组织利用BlueKeep漏洞，疯狂攻击日韩！

发布于 作者:

紧急！朝鲜Kimsuky组织利用BlueKeep漏洞，疯狂攻击日韩！ 原创 紫队 紫队安全研究 2025-05-01 04:00 大家好，我是紫队安全研究。建议大家把公众号“紫队安全研究”设为星标，否则可能就无法及时看到啦！因为公众号只对常读和星标的公众号才能大图推送。操作方法：先点击上面的“紫队安全研究”，然后点击右上角的【…】,然后点击【设为星标】即可。 网络安全的警报再次拉响！近

继续阅读

信息安全漏洞周报（2025年第17期）

发布于 作者:

信息安全漏洞周报（2025年第17期） 原创 CNNVD CNNVD安全动态 2025-04-30 11:27 点击蓝字 关注我们 漏洞情况 根据国家信息安全漏洞库（CNNVD）统计，本周（2025年4月21日至2025年4月27日）安全漏洞情况如下： 公开漏洞情况 本周CNNVD采集安全漏洞568个。                  接报漏洞情况 本周CNNVD接报漏洞37683个，其中信息技

继续阅读

【安全圈】Apache Tomcat 漏洞可导致攻击者绕过规则并触发 DoS 条件

发布于 作者:

【安全圈】Apache Tomcat 漏洞可导致攻击者绕过规则并触发 DoS 条件 安全圈 2025-04-30 11:00 关键词 安全漏洞 Apache 软件基金会披露了 Apache Tomcat 中的一个重大安全漏洞，该漏洞可能允许攻击者绕过安全规则并通过操纵 HTTP 优先级标头 触发 拒绝服务条件。 该高危漏洞编号为 CVE-2025-31650，影响多个 Tomcat 版本，对依赖此

继续阅读

【安全圈】CISA 就 Commvault Web 服务器漏洞发布警告，称该漏洞可能被利用

发布于 作者:

【安全圈】CISA 就 Commvault Web 服务器漏洞发布警告，称该漏洞可能被利用 安全圈 2025-04-30 11:00 关键词 安全漏洞 网络安全和基础设施安全局 (CISA) 已将 Commvault Web 服务器 漏洞 (CVE-2025-3928) 添加到其已知被利用漏洞 (KEV) 目录中，这表明威胁行为者正在积极利用此安全漏洞。  该机构于 2025 年 4 月 28 日

继续阅读

主流AI系统或存在越狱、代码及数据安全漏洞

发布于 作者:

主流AI系统或存在越狱、代码及数据安全漏洞 FreeBuf 2025-04-30 10:04 最新研究发现，多款生成式人工智能（GenAI）服务存在两类可诱导其生成非法或危险内容的越狱攻击漏洞。其中代号为”Inception”的攻击技术，通过指令让AI工具虚构场景，进而在无安全限制的子场景中实施二次诱导。 美国计算机应急响应小组协调中心（CERT/CC）在近期公告中指出：&

继续阅读

创宇安全智脑 | 小皮面板 JWT 硬编码认证绕过等71个漏洞可检测

发布于 作者:

创宇安全智脑 | 小皮面板 JWT 硬编码认证绕过等71个漏洞可检测 原创 创宇安全智脑 创宇安全智脑 2025-04-30 07:50 创宇安全智脑 是基于知道创宇17年来AI+安全大数据在真实攻防场景中的经验积累构建的下一代全场景安全智能算力平台。平台拥有海量真实攻防数据和安全大数据持续生产能力；结合面向多个实战场景的AI智能模型，持续汇聚、萃取和分析，实时输出高精准高价值威胁情报、安全态势、

继续阅读

奇安信发布2024年年报，实现营收43.49亿元，同比下降32.49% ；苹果AirPlay协议零点击远程代码执行风险曝光|牛览

发布于 作者:

奇安信发布2024年年报，实现营收43.49亿元，同比下降32.49% ；苹果AirPlay协议零点击远程代码执行风险曝光|牛览 安全牛 2025-04-30 07:49 新闻速览 •国家密码管理局调整商用密码检测认证业务实施 •ISACA警报：95%组织缺乏量子计算威胁防御策略 •全球零日漏洞攻击趋势分析：Windows系统成黑客首选目标 •网络攻击还是系统故障？西班牙、葡萄牙遭遇大规模断电 •

继续阅读

浅谈src漏洞挖掘中容易出洞的几种姿势

发布于 作者:

浅谈src漏洞挖掘中容易出洞的几种姿势 sec0nd安全 2025-04-30 06:30 扫码领资料 获网安教程 网络安全领域各种资源，EDUSRC证书站挖掘、红蓝攻防、渗透测试等优质文章，以及工具分享、前沿信息分享、POC、EXP分享。 不定期分享各种好玩的项目及好用的工具，欢迎关注。加内部圈子，文末有彩蛋（知识星球优惠卷）。# 0x1 前言 浅谈 这篇文章主要是想跟师傅们聊下企业src包括平

继续阅读

Cookie-Bite攻击PoC使用Chrome扩展窃取会话令牌

发布于 作者:

Cookie-Bite攻击PoC使用Chrome扩展窃取会话令牌 胡金鱼 嘶吼专业版 2025-04-30 06:00 一种名为“Cookie-Bite”的概念验证攻击利用浏览器扩展程序从 Azure Entra ID 中窃取浏览器会话 Cookie，以绕过多因素身份验证（MFA）保护，并保持对 Microsoft 365、Outlook 和 Teams 等云服务的访问。 此次攻击由 Varoni

继续阅读

苹果的“AirBorne”漏洞可能导致零点击 AirPlay RCE 攻击

发布于 作者:

苹果的“AirBorne”漏洞可能导致零点击 AirPlay RCE 攻击 独眼情报 2025-04-30 04:53 苹果 苹果 AirPlay 协议和 AirPlay 软件开发工具包 (SDK) 中的一组安全漏洞使未修补的第三方和苹果设备容易受到各种攻击，包括远程代码执行。 根据发现并报告这些漏洞的网络安全公司 Oligo Security 的安全研究人员的说法，这些漏洞可被用于零点击和一点击

继续阅读

苹果 “AirBorne” 漏洞可导致零点击 AirPlay RCE 攻击

发布于 作者:

苹果 “AirBorne” 漏洞可导致零点击 AirPlay RCE 攻击 Sergiu Gatlan 代码卫士 2025-04-30 04:04 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 苹果 AirPlay 协议和 AirPlay 软件开发包 (SDK) 中存在多个漏洞，可导致未修复的第三方和苹果设备易受多种攻击，如远程代码执行等。 网络安全公司 Oligo Security 的安

继续阅读

Apache Tomcat发布安全更新，修复两个关键安全漏洞

发布于 作者:

Apache Tomcat发布安全更新，修复两个关键安全漏洞 原创 ralap 网络个人修炼 2025-04-30 02:24 Apache 软件基金会于近日发布了针对其著名 Servlet 容器  Apache Tomcat  的安全更新，修复了两个关键的安全漏洞，分别被编号为 CVE-2025-31650 和 CVE-2025-31651。这些漏洞可能影响用户的应用服务器安全性，并导致拒绝服务

继续阅读

37.漏洞赏金项目中的URL- 掌握 URL：2025 年版

发布于 作者:

37.漏洞赏金项目中的URL- 掌握 URL：2025 年版 Kongsec Rsec 2025-04-30 02:12 本文章仅用网络安全研究学习，请勿使用相关技术进行违法犯罪活动。 声明：本文搬运自互联网，如你是原作者，请联系我们！ 标签：URL 图1 封面 在漏洞赏金猎人 的世界里，理解 URL 不仅仅是一项技能，而是一项必需技能。URL 是隐藏漏洞、错误配置和被忽视的安全漏洞的关键。无论您

继续阅读

VeriSource数据泄露事件影响400万人

发布于 作者:

VeriSource数据泄露事件影响400万人 鹏鹏同学 黑猫安全 2025-04-30 01:25 VeriSource公司正在向400万人发出安全警报，起因是2024年2月发生的个人信息泄露事件。数据于2024年2月27日遭窃取，次日（2月28日）公司发现该安全事件。 该公司随即启动网络安全事件调查。 根据Verisource Services, Inc.（简称VSI）发布的泄露通知：&#82

继续阅读

每周回顾：关键SAP漏洞、AI驱动的网络钓鱼、重大漏洞、新CVE等

发布于 作者:

每周回顾：关键SAP漏洞、AI驱动的网络钓鱼、重大漏洞、新CVE等 原创 铸盾安全 河南等级保护测评 2025-04-30 01:00 当网络犯罪分子不再需要深厚的技术就能突破您的防御时，会发生什么？如今的攻击者拥有强大的工具，可以完成繁重的工作 —— 从人工智能驱动的网络钓鱼工具包到随时准备发动攻击的大型僵尸网络。而且，他们的目标不仅仅是大公司。当使用虚假身份、劫持基础设施和内部人员的伎俩来绕过

继续阅读

AI 自主调用 BurpSuite 完成漏洞自动化检测

发布于 作者:

AI 自主调用 BurpSuite 完成漏洞自动化检测 原创 麦香蕉的安全博客 mt0u的安全博客 2025-04-30 00:53 一、引言 在网络安全领域，漏洞检测一直是一项重要且复杂的工作。随着人工智能技术的飞速发展，其在网络安全中的应用也越来越广泛。本文将介绍如何利用 Cherry Studio 配置 MCP 服务，实现 AI 自主调用 BurpSuite 工具完成漏洞自动化检测任务。 二

继续阅读

具有资产测绘、子域名枚举、信息泄露检测、漏洞扫描、目录扫描、子域名接管、爬虫、页面监控功能的工具

发布于 作者:

具有资产测绘、子域名枚举、信息泄露检测、漏洞扫描、目录扫描、子域名接管、爬虫、页面监控功能的工具 原创 白帽学子 白帽学子 2025-04-30 00:11 兄弟们，之前hvv演练又给我整破防了——甲方给的资产清单像开盲盒，子域名列表比双十一快递还多，半夜两点还要盯着漏洞复现情况。 这时候突然想起工位抽屉里那把”瑞士军刀”，掏出Scope Sentry边啃泡面边操作&#82

继续阅读

漏洞预警 | 维达外贸客户关系管理系统SQL注入漏洞

发布于 作者:

漏洞预警 | 维达外贸客户关系管理系统SQL注入漏洞 浅安 浅安安全 2025-04-30 00:00 0x00 漏洞编号 – # 暂无 0x01 危险等级 – 高危 0x02 漏洞概述 维达外贸客户关系管理系统是一款由维达外贸软件公司研发，专注于外贸企业客户关系管理，集客户信息管理、销售流程跟踪、市场分析等功能于一体，帮助外贸企业提升客户关系管理效率、优化业务流程、实现业

继续阅读

漏洞预警 | IBOS企业协同管理软件SQL注入漏洞

发布于 作者:

漏洞预警 | IBOS企业协同管理软件SQL注入漏洞 浅安 浅安安全 2025-04-30 00:00 0x00 漏洞编号 – # 暂无 0x01 危险等级 – 高危 0x02 漏洞概述 IBOS企业协同管理软件是一款基于PHP开发、Yii框架的开源企业协同管理软件，提供沟通协作、知识管理、工作流等六大功能平台。 0x03 漏洞详情 漏洞类型： SQL注入 影响： 获取敏感

继续阅读

漏洞预警 | 锐捷EWEB任意文件读取漏洞

发布于 作者:

漏洞预警 | 锐捷EWEB任意文件读取漏洞 浅安 浅安安全 2025-04-30 00:00 0x00 漏洞编号 – # 暂无 0x01 危险等级 – 高危 0x02 漏洞概述 锐捷睿易是锐捷网络针对商业市场的子品牌。拥有易网络、交换机、路由器、无线、安全、云服务六大产品线，解决方案涵盖商贸零售、酒店、KTV、网吧、监控安防、物流仓储、制造业、中小教育、中小医疗、中小政府等

继续阅读

代码里的黄金周，单个漏洞至高奖励3万元！

发布于 作者:

代码里的黄金周，单个漏洞至高奖励3万元！ 携程安全应急响应中心 2025-04-29 10:15 致敬每一位白帽子 你是否曾凝视网络世界的”夜空” 对那看似平静却暗藏玄机的 数字宇宙充满好奇？ 现在，一场比月球探索更刺激的 漏洞破解行动 即将启动！ 🚀 现在加入 让我们一起在代码的星河中 挖掘属于白帽子的荣耀！ 活动时间 2025.5.1-5.10 — 提交地址

继续阅读