如何利用关键 Ray 框架漏洞来入侵全球 AI 机器？
如何利用关键 Ray 框架漏洞来入侵全球 AI 机器？ cybernews OSINT研习社 2024-05-01 09:00 自 2023 年 9 月 5 日以来，一种名为“ShadowRay”活动的复杂网络威胁针对 Ray 框架中的漏洞。 该活动凸显了 Ray 框架中的一个严重漏洞，该框架由 Anyscale 开发，并被 Amazon 和OpenAI 等巨头使用 ，用于协调教育、加密货币和生物
继续阅读标签： 信息泄露
漏洞预警 | 若依druid未授权访问漏洞
漏洞预警 | 若依druid未授权访问漏洞 浅安 浅安安全 2024-05-01 08:00 0x00 漏洞编号 – # 暂无 0x01 危险等级 – 高危 0x02 漏洞概述 若依框架是一款基于Spring Boot、Spring Cloud、OAuth2与JWT鉴权等核心技术的快速开发平台。它支持多种安全框架和持久化框架，并采用前后端分离的模式进行开发，具备高度的灵活性
继续阅读一款未授权/敏感信息/敏感关键词/接口JS文件指纹特征识别插件|漏洞探测
一款未授权/敏感信息/敏感关键词/接口JS文件指纹特征识别插件|漏洞探测 漏洞挖掘 渗透安全HackTwo 2024-05-01 00:01 0x01 工具介绍 攻防演练过程中，我们通常会用浏览器访问一些资产，但很多未授权/敏感信息/越权隐匿在已访问接口过html、JS文件等，通过该Burp插件我们可以： 1 、发现通过某接口可以进行未授权/越权获取到所有的账号密码、私钥、凭证
继续阅读【漏洞预警】 јizhiсｍѕ v.2.５.4跨站脚本漏洞(CVE-2024-33338)
【漏洞预警】 јizhiсｍѕ v.2.５.4跨站脚本漏洞(CVE-2024-33338) cexlife 飓风网络安全 2024-04-30 22:58 漏洞描述: јizhiсｍѕ v.2.５.4中的跨站脚本漏洞允许远程攻击者通过精心设计的文章发布请求获取敏感信息。 修复方法: 目前官方已有可更新版本,建议受影响用户升级至最新版本
继续阅读【0day】KingPortal运行系统信息泄露漏洞【未公开|附poc】
【0day】KingPortal运行系统信息泄露漏洞【未公开|附poc】 原创 xiaocaiji 网安鲲为帝 2024-04-30 19:43 0x00免责声明 ! 本文仅用于技术讨论与学习，利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，文章作者及本公众号团队不为此承担任何责任。 0x01 漏洞描述 ! 随着工业互联网的迅速发展，传统的组态软件CS架构需要安装客户
继续阅读上周关注度较高的产品安全漏洞(20240422-20240428)
上周关注度较高的产品安全漏洞(20240422-20240428) 国家互联网应急中心CNCERT 2024-04-30 09:25 一、境外厂商产品漏洞 1、Linux Kernel存在拒绝服务漏洞（CNVD-2024-17902） Linux kernel是美国Linux基金会的开源操作系统Linux所使用的内核。Linux Kernel存在拒绝服务漏洞，攻击者可利用该漏洞进行拒绝服务攻击。
继续阅读03-Git信息泄露及其漏洞利用
03-Git信息泄露及其漏洞利用 原创 simeon的文章 小兵搞安全 2024-04-29 06:37 1.1 Git信息泄露及其漏洞利用 Git是由林纳斯·托瓦兹（Linus Torvalds）命名的，它来自英国俚语，意思是“混账”，Git是一个分布式版本控制软件，最初由林纳斯·托瓦兹（Linus Torvalds）创作，于2005年以GPL发布。最初目的是为更好地管理Linux内核开发而设计
继续阅读在看 | 周报：国产输入法曝重大漏洞；支付1.5亿赎金仍被泄露数据
在看 | 周报：国产输入法曝重大漏洞；支付1.5亿赎金仍被泄露数据 原创 管窥蠡测 安在 2024-04-27 17:52 热点事件，政策法规，产业要闻，资讯报告，尽在「网安周报」。与网安发展同步，采业界资讯共赏，天天见闻，周周必报。 安全事件 1、交通银行App崩了一度冲上热搜！ 2、全国首例AI声音侵权案一审宣判 声音被AI化出售获赔25万元 4月23日上午，北京互联网法院对全国首例“AI声音
继续阅读安全情报，X达OA down.php 存在信息泄露漏洞！！！
安全情报，X达OA down.php 存在信息泄露漏洞！！！ 原创 Ax 极星信安 2024-04-27 17:46 声明：该公众号大部分文章来自作者日常学习笔记，也有部分文章是经过作者授权和其他公众号白名单转载，禁止私自转载，如需转载，请联系作者！！！！ 请勿利用文章内的相关技术从事非法测试，如因此产生的一切不良后果与文章作者和本公众号无关！！！！！ 漏洞介绍 通达OA（Office Anywh
继续阅读Swagger API Exploit 1.1
Swagger API Exploit 1.1 星冥安全 星冥安全 2024-04-27 15:14 这是一个 Swagger REST API 信息泄露利用工具。主要功能有： – 遍历所有API接口，自动填充参数 尝试 GET / POST 所有接口，返回 Response Code / Content-Type / Content-Length ，用于分析接口是否可以未授权访问利用
继续阅读常见未授权访问漏洞总结及验证方式
常见未授权访问漏洞总结及验证方式 橘猫学安全 2024-04-27 14:14 前言 未授权访问漏洞是常见的攻击入口点，某些严重的未授权访问会直接导致getshell，熟悉常见的未授权访问漏洞排查方法对红蓝双方都有很大的帮助。本文对常见的未授权访问利用所需的工具和命令做总结。 mysql 3306端口未授权访问，可读取数据库内容，可尝试在web路径写webshell 工具：Navicat sqls
继续阅读FreeBuf 周报 | 乌克兰关基设施被破坏；GPT-4 会自己发起漏洞攻击
FreeBuf 周报 | 乌克兰关基设施被破坏；GPT-4 会自己发起漏洞攻击 疯狂冰淇淋 FreeBuf 2024-04-27 09:30 各位 Buffer 周末好，以下是本周「FreeBuf周报」，我们总结推荐了本周的热点资讯、安全事件、一周好文和省心工具，保证大家不错过本周的每一个重点！ 热点资讯 1. Palo Alto Networks披露PAN-OS防火墙「满分」漏洞细节 近日，Pa
继续阅读【安全圈】PuTTY SSH 工具发布紧急更新修复高危漏洞：私钥可被窃取
【安全圈】PuTTY SSH 工具发布紧急更新修复高危漏洞：私钥可被窃取 安全圈 2024-04-26 19:00 关键词 安全漏洞 热门 SSH 和 Telnet 工具 PuTTY 被曝安全漏洞，追踪编号为 CVE-2024-31497，影响 0.68-0.80 版本，攻击者只需使用 60 个签名就能还原私钥。 官方目前已经更新发布了 0.81 版本，并推荐用户尽快升级到最新版本中。 该漏洞由波
继续阅读iMessage 零点击RCE利用被曝现身黑客论坛
iMessage 零点击RCE利用被曝现身黑客论坛 Divya 代码卫士 2024-04-26 17:25 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 据称，针对苹果 iMessage 的零点击远程代码执行 (RCE) 利用在多个黑客论坛上传播。 该利用可导致黑客在无需用户交互的情况下控制 iPhone，从而对全球数百万 iMessage 用户带来严重风险。零点击利用这一网络安全威胁，无
继续阅读【漏洞预警】metersphere信息泄露漏洞(CVE-2024-32467)
【漏洞预警】metersphere信息泄露漏洞(CVE-2024-32467) cexlife 飓风网络安全 2024-04-26 17:10 漏洞描述:MеtеrSрhеrе是一套开源的持续测试平台,在2.10.14-ltѕ版本之前,没有空间权限的成员可以查看来自超出其权限的其他工作空间的成员信息版本2.10.14-ｌtѕ修复了这个问题利用条件:利用此漏洞需高权限 利用此漏洞需交互 补丁名称:m
继续阅读RSAC 2024创新沙盒｜VulnCheck：漏洞优先级挑战的解决方案
RSAC 2024创新沙盒｜VulnCheck：漏洞优先级挑战的解决方案 绿盟君 绿盟科技 2024-04-26 15:36 5月6日 RSA Conference 2024 将正式启幕 作为“安全圈的奥斯卡” RSAC 创新沙盒（Innovation Sandbox） 已成为网络安全业界的创新标杆 创新之下 与绿盟君一道 聚焦网络安全新热点 洞悉安全发展新趋势 走进 ****VulnCheck
继续阅读【已复现】禅道项目管理系统身份认证绕过漏洞
【已复现】禅道项目管理系统身份认证绕过漏洞 长亭应急 黑伞安全 2024-04-26 13:33 禅道项目管理系统（以下简称禅道系统）是一个开源的项目管理软件，专门设计用于敏捷开发，提供了需求管理、任务管理、缺陷跟踪、测试管理和项目绩效等功能，帮助团队更高效地进行项目规划和执行。2024年4月，互联网披露禅道系统存在身份认证绕过的漏洞情报。经分析，确认该漏洞利用简单，并可能在绕过权限后利用后台其他
继续阅读【已复现】CrushFTP 服务器端模板注入漏洞(CVE-2024-4040)安全风险通告
【已复现】CrushFTP 服务器端模板注入漏洞(CVE-2024-4040)安全风险通告 奇安信 CERT 2024-04-25 18:49 ● 点击↑蓝字关注我们，获取更多安全风险通告 漏洞概述 漏洞名称 CrushFTP 服务器端模板注入漏洞 漏洞编号 QVD-2024-15005,CVE-2024-4040 公开时间 2024-04-22 影响量级 万级 奇安信评级 高危 CVSS 3.
继续阅读Primeton EOS Platform jmx反序列化致远程代码执行漏洞
Primeton EOS Platform jmx反序列化致远程代码执行漏洞 长亭应急 黑伞安全 2024-04-25 08:30 Primeton EOS Platform（以下简称普元EOS）是一个由普元科技开发的企业级应用软件平台，旨在提供数字化转型、数据管理和流程优化的解决方案。2024年4月，互联网披露普元EOS远程代码执行漏洞情报，经分析，确认该漏洞由反序列化缺陷引起，且该漏洞在去年已
继续阅读重大安全漏洞暴露超过 10 亿中文输入法用户的击键行为
重大安全漏洞暴露超过 10 亿中文输入法用户的击键行为 会杀毒的单反狗 军哥网络安全读报 2024-04-25 07:57 导读 基于云的拼音输入法中发现的安全漏洞可能会被利用，向不法分子泄露用户的击键内容。 该调查结果来自公民实验室，该实验室发现了百度、荣耀、科大讯飞、OPPO、三星、腾讯、Vivo和小米等供应商的九款应用程序中的八款存在安全漏洞。唯一一家输入法不存在任何安全缺陷的供应商是华为。
继续阅读WordPress 插件 Forminator 中存在严重漏洞，影响30多万站点
WordPress 插件 Forminator 中存在严重漏洞，影响30多万站点 Bill Toulas 代码卫士 2024-04-24 17:33 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 50多万个站点都在使用的WordPress 插件 Forminator 易受严重漏洞CVE-2024-28890（CVSS评分9.8）的影响，可导致恶意人员将不受限制的文件上传到服务器中。 For
继续阅读微软：APT28 利用由NSA报送的 Windows 漏洞
微软：APT28 利用由NSA报送的 Windows 漏洞 Sergiu Gatlan 代码卫士 2024-04-24 17:33 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 微软提醒称，俄罗斯 APT28 威胁组织利用 Windows Print Spooler 漏洞 (CVE-2022-38028)，通过此前未知的黑客工具 GooseEgg提升权限，窃取凭据和数据。 APT 28 黑
继续阅读24年3月必修安全漏洞清单｜腾讯安全威胁情报中心
24年3月必修安全漏洞清单｜腾讯安全威胁情报中心 腾讯威胁情报中心 腾讯安全威胁情报中心 2024-04-24 15:17 所谓必修漏洞，就是运维人员必须修复、不可拖延、影响范围较广的漏洞，被黑客利用并发生入侵事件后，会造成十分严重的后果。 腾讯安全威胁情报中心参考“安全漏洞的危害及影响力、漏洞技术细节披露情况、该漏洞在安全技术社区的讨论热度”等因素，综合评估该漏洞在攻防实战场景的风险。当漏洞综合
继续阅读漏洞预警 | PuTTY密钥恢复漏洞
漏洞预警 | PuTTY密钥恢复漏洞 网络威胁数据联盟 2024-04-24 15:00 0x00 漏洞编号 – # CVE-2024-31497 0x01 危险等级 – 高危 0x02 漏洞概述 PuTTY 是一种流行的开源终端仿真器、串行控制台和网络文件传输应用程序，支持SSH、Telnet、SCP和SFTP等协议，可使用该软件通过SSH远程访问和管理服务器和其他网络设
继续阅读腾讯安全威胁情报中心推出2024年3月必修安全漏洞清单
腾讯安全威胁情报中心推出2024年3月必修安全漏洞清单 原创 腾讯威胁情报中心 安全攻防团队 2024-04-24 14:38 所谓必修漏洞，就是运维人员必须修复、不可拖延、影响范围较广的漏洞，被黑客利用并发生入侵事件后，会造成十分严重的后果。 腾讯安全威胁情报中心参考“安全漏洞的危害及影响力、漏洞技术细节披露情况、该漏洞在安全技术社区的讨论热度”等因素，综合评估该漏洞在攻防实战场景的风险。当漏洞
继续阅读AppMsg一款适用于以APP病毒分析 APP漏洞挖掘 辅助分析工具|漏洞挖掘
AppMsg一款适用于以APP病毒分析 APP漏洞挖掘 辅助分析工具|漏洞挖掘 漏洞挖掘 渗透安全HackTwo 2024-04-23 00:00 0x01 工具介绍 一款适用于以APP病毒分析、APP漏洞挖掘、APP开发、HW行动/红队/渗透测试团队为场景的移动端(Android、iOS)辅助分析工具，可以帮助APP开发工程师、病毒分析师、漏洞/安全研究员提高工作效率，帮助渗透测试工程师、攻击
继续阅读雷神众测漏洞周报2024.4.15-2024.4.21
雷神众测漏洞周报2024.4.15-2024.4.21 原创 雷神众测 雷神众测 2024-04-22 17:55 摘要 以下内容，均摘自于互联网，由于传播，利用此文所提供的信息而造成的任何直接或间接的后果和损失，均由使用者本人负责，雷神众测以及文章作者不承担任何责任。雷神众测拥有该文章的修改和解释权。如欲转载或传播此文章，必须保证此文章的副本，包括版权声明等全部内容。声明雷神众测允许，不得任意修
继续阅读【漏洞通告】Jumpserver Jinja2 模板注入漏洞
【漏洞通告】Jumpserver Jinja2 模板注入漏洞 安迈信科应急响应中心 2024-04-22 17:16 01 漏洞概况 JumpServer 存在Jinja2 模板注入漏洞，攻击者可以利用 JumpServer 的 Ansible 中的 Jinja2 模板注入漏洞，在 Celery 容器中执行任意代码。由于 Celery 容器以 root 权限运行并具有数据库访问权限，攻
继续阅读