用友U8 CRM 文件上传致RCE漏洞
用友U8 CRM 文件上传致RCE漏洞 合规渗透 合规渗透 2024-07-21 15:34 Fofa语法 title=” 用友 U8CRM” 漏洞POC POST /crmtools/tools/import.php?DontCheckLogin=1&issubmit=1 HTTP/1.1 Host: User-Agent: Mozilla/5.0 (Window
继续阅读标签： 命令执行
首发0day-1Panel面板最新前台RCE漏洞(内附Poc)
首发0day-1Panel面板最新前台RCE漏洞(内附Poc) 实战安全研究 2024-07-20 13:17 0x00 漏洞描述 1Panel 是新一代的 Linux 服务器运维管理面板，用户可以通过 Web 图形界面轻松管理 Linux 服务器，实现主机监控、文件管理、数据库管理、容器管理等功能。且深度集成开源建站软件 WordPress 和 Halo. 0x**01 影响范围 网站监控功能影
继续阅读「漏洞复现」数字通云平台 智慧政务OA PayslipUser SQL注入漏洞
「漏洞复现」数字通云平台 智慧政务OA PayslipUser SQL注入漏洞 冷漠安全 冷漠安全 2024-07-20 11:31 0x01 免责声明 免责声明 请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，作者不为此承担任何责任。工具来自网络，安全性自测，如有侵权请联系删除。本次测试仅供学习使用，如若非法他用，与平
继续阅读某TP拼团零售商城系统RCE漏洞审计
某TP拼团零售商城系统RCE漏洞审计 Mstir 星悦安全 2024-07-20 10:27 0x00 前言 ThinkPHP5 拼团拼购系统，支持热门商品，余额总览，红包分销，商品销售，购物车等功能，后台使用管理系统所构建. Fofa:”/public/static/plugins/zepto/dist/zepto.js” 框架:ThinkPHP 5.0.24 Debug
继续阅读【已复现】Nacos 后台 removal 接口 SQL 执行致远程代码执行漏洞
【已复现】Nacos 后台 removal 接口 SQL 执行致远程代码执行漏洞 长亭安全应急响应中心 2024-07-19 20:19 Nacos是一个开源的服务发现和配置管理平台，专门为微服务架构设计，用于帮助构建动态服务发现、服务配置管理、服务元数据及流量管理。2024年7月，互联网披露了一个Nacos的漏洞利用。经分析，攻击者可利用该漏洞获取操作系统权限，建议受影响的客户尽快修复漏洞。 漏
继续阅读SolarWinds 修复访问权限审计软件中的8个严重漏洞
SolarWinds 修复访问权限审计软件中的8个严重漏洞 Sergiu Gatlan 代码卫士 2024-07-19 18:20 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 SolarWinds 修复了位于访问权限管理器 (Access Rights Manager, ARM) 软件中的8个严重漏洞，其中6个可导致攻击者获得易受攻击设备上的远程代码执行 (RCE) 权限。 ARM是企业
继续阅读CVE-2024-21181｜Oracle WebLogic Server远程代码执行漏洞
CVE-2024-21181｜Oracle WebLogic Server远程代码执行漏洞 alicy 信安百科 2024-07-19 17:59 0x00 前言 Weblogic是Oracle公司的Java应用服务器。可以用来集成和部署大型分布式Web应用、网络应用和数据库应用。 Weblogic最早由Weblogic公司开发，后来被BEA公司并入，所以早期Weblogic安装及界面有 BEA的
继续阅读汽车网络安全 — 漏洞该如何管理
汽车网络安全 — 漏洞该如何管理 谈思实验室 2024-07-19 17:53 点击上方蓝字 谈思实验室 获取更多汽车网络安全资讯 01 漏洞获取途径汇总 俗话说站在巨人的肩膀上可以看得更远，在谈漏洞管理之前，了解历史上有哪些汽车网安事件，汽车威胁在哪里可以获取，对我们开展业务是非常有帮助的。 这里列举几个分享这些情报的平台： AUTO-ISAC：成立于2015年，是国外OEM共同维护
继续阅读【已复现】Nacos Derby 远程命令执行漏洞(QVD-2024-26473)安全风险通告
【已复现】Nacos Derby 远程命令执行漏洞(QVD-2024-26473)安全风险通告 奇安信 CERT 2024-07-19 16:38 ● 点击↑蓝字关注我们，获取更多安全风险通告 漏洞概述 漏洞名称 Nacos Derby 远程命令执行漏洞 漏洞编号 QVD-2024-26473 公开时间 2024-07-15 影响量级 万级 奇安信评级 高危 CVSS 3.1分数 9.8 威胁类
继续阅读漏洞通告 | 已修复！Nacos RCE 漏洞
漏洞通告 | 已修复！Nacos RCE 漏洞 原创 微步情报局 微步在线研究响应中心 2024-07-19 14:31 漏洞概况 Nacos是一个动态命名和配置服务的开源项目，旨在帮助用户构建云原生应用。它提供了动态服务发现、配置管理和服务共享等基础设施，适用于各种云环境，包括私有云、混合云和公有云。 2024年7月15日，微步漏洞团队监测到Nacos远程命令执行漏洞（https://x.thr
继续阅读「推安早报」0719 | nculei反制、yt-dlp反制、jump漏洞等
「推安早报」0719 | nculei反制、yt-dlp反制、jump漏洞等 bggsec 甲方安全建设 2024-07-19 09:13 2024-07-19 安全「信息差」# 每天快人一步 > 1. 推送「新、热、赞」，降噪增效 2. 查漏补缺，你可能错过了一些小东西 ### 0x01 下一代渗透测试工具Atexec-pro：利用任务调度器（无需端口445） > Atexec-pr
继续阅读工具 | Jeecg-Boot综合漏洞利用GUI
工具 | Jeecg-Boot综合漏洞利用GUI MInggongK 渗透安全团队 2024-07-18 22:21 由于微信公众号推送机制改变了，快来 星标 不再迷路，谢谢大家！ 1► 工具介绍 Jeecg综合漏洞利用工具集成了多模块漏洞利用，包括一键漏洞检测，单独选择模块检测,cmdshell模块，文件上传模块，批量检测模块等 v3.0版本内置的标准库外，在检测模块加入了okhttp的三方库，
继续阅读Atlassian 修复Confluence等产品中的多个高危漏洞
Atlassian 修复Confluence等产品中的多个高危漏洞 Ionut Arghire 代码卫士 2024-07-18 21:50 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 本周二，软件厂商 Atlassian 发布安全更新，修复了位于 Bamboo、Confluence 和 Jira 产品中的多个高危漏洞。 Atlassian 公司紧急呼吁用户注意 Bamboo Data C
继续阅读思科紧急通告：本地智能软件管理器曝出高危漏洞，安全升级刻不容缓！
思科紧急通告：本地智能软件管理器曝出高危漏洞，安全升级刻不容缓！ 信息安全大事件 2024-07-18 20:05 Cisco 已发布修补程序，以解决影响 Smart Software Manager On-Prem （Cisco SSM On-Prem） 的最大严重性安全漏洞，该漏洞可能使未经身份验证的远程攻击者更改任何用户（包括属于管理用户的用户）的密码。 该漏洞被跟踪为 CVE-2024-2
继续阅读【复现】JumpServer 后台文件写入漏洞(CVE-2024-40629)的风险通告
【复现】JumpServer 后台文件写入漏洞(CVE-2024-40629)的风险通告 原创 赛博昆仑CERT 赛博昆仑CERT 2024-07-18 19:03 赛博昆仑漏洞安全通告- JumpServer 后台文件写入漏洞(CVE-2024-40629)的风险通告 漏洞描述 JumpServer 是广受欢迎的开源堡垒机，是符合 4A 规范的专业运维安全审计系统。JumpServer 帮助企
继续阅读演讲议题巡展 | A Post Exploitation Toolkit for High Value Systems
演讲议题巡展 | A Post Exploitation Toolkit for High Value Systems KCon 黑客大会 2024-07-18 17:27 经过精心筹备与多方努力 KCon 2024 黑客大会敲定举办时间 将于8月24日-25日举办 本次大会涵盖了网安领域的不同热点话题 为了展示演讲议题风采 让大家了解更多大会情况 特此开展议题巡展 欢迎围观~ 演讲者： Skay
继续阅读JeecgBoot综合漏洞利用工具V3.0（7月11日更新）
JeecgBoot综合漏洞利用工具V3.0（7月11日更新） MInggongK 网络安全者 2024-07-17 22:01 =================================== 免责声明请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，作者不为此承担任何责任。工具来自网络，安全性自测，如有侵权请联系删
继续阅读网传nacos_rce漏洞poc（7月15日更新）
网传nacos_rce漏洞poc（7月15日更新） FFR66 Web安全工具库 2024-07-17 22:01 =================================== 免责声明请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，作者不为此承担任何责任。工具来自网络，安全性自测，如有侵权请联系删除。个人微信
继续阅读第四课-系统学习代码审计：命令执行漏洞讲解
第四课-系统学习代码审计：命令执行漏洞讲解 开发小鸡娃 安全随心录 2024-07-17 21:27 命令注入 命令执行漏洞是有些代码中需要调用到系统命令，当系统命令代码未对用户可控参数做过滤，则当用户能控制相和谐函数的参数的时候就可以把恶意命令把拼接正常命令中造成命令执行攻击。在Java中，命令执行漏洞主要包含两个主要方法，ProcessBuilder.start()、Runtime.getRu
继续阅读Nacos Derby Sql注入RCE（常规出网）
Nacos Derby Sql注入RCE（常规出网） 原创 SXdysq 南街老友 2024-07-17 20:47 漏洞描述 Nacos derby存在远程代码执行漏洞，由于Alibaba Nacos部分版本中derby数据库默认可以未授权访问，恶意攻击者利用此漏洞可以未授权执行SQL语句，从而远程加载恶意构造的jar包，最终导致任意代码执行。 影响版本 nacos 2.3.2 nacos 2.
继续阅读【IoT安全】BMC 固件中的漏洞影响 IoT 设备安全-第 1 部分
【IoT安全】BMC 固件中的漏洞影响 IoT 设备安全-第 1 部分 原创 Nozomi 车联网攻防日记 2024-07-17 19:17 在过去的一年里，Nozomi Networks 实验室对基板管理控制器（BMCs)的安全性进行了研究，特别关注工业物 联网（OT）和物联网（IoT）设备。在这个博客系列的第一部分中，我们揭示了影响基于美国 Megatrends（AMI）MegaRAC SP-
继续阅读Nacos 1Day RCE不出网利用方式
Nacos 1Day RCE不出网利用方式 原创 Garck3h pentest 2024-07-17 17:20 前言 7.15各个群里以及公众号都在传github上有网友公布了最新的nacos远程代码执行漏洞及exp。以及陆陆续续有大佬们复现了该漏洞。昨晚有师傅问我，不出网的方式怎么利用，我们今天来探讨一下不出网的方式。Nacos是一个更易于构建云原生应用的动态服务发现、配置管理和服务管理平台
继续阅读【漏洞预警】Products Filter Professional for WooCommerce存在sql注入漏洞
【漏洞预警】Products Filter Professional for WooCommerce存在sql注入漏洞 原创 聚焦网络安全情报 安全聚 2024-07-17 17:07 预警公告 严重 近日，安全聚实验室监测到 WordPress的插件中存在SQL注入漏洞 ，编号为：CVE-2024-6457，CVSS:9.8 由于对用户提供的参数转义不充分，以及对现有SQL查询缺乏充分的准备，
继续阅读Oracle 2024年7月补丁日多产品高危漏洞安全风险通告
Oracle 2024年7月补丁日多产品高危漏洞安全风险通告 奇安信 CERT 2024-07-17 09:26 ● 点击↑蓝字关注我们，获取更多安全风险通告 漏洞概述 漏洞名称 Oracle 2024年7月补丁日多产品高危漏洞 影响产品 Oracle WebLogic Server、MySQL Server等 公开时间 2024-07-17 影响对象数量级 百万级 奇安信评级 高危 利用可能性
继续阅读nacos的1day保姆级漏洞复现
nacos的1day保姆级漏洞复现 湘南第一深情 湘安无事 2024-07-16 20:06 声明： 由于传播、利用本公众号湘安无事所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，请勿利用文章内的相关技术从事非法测试，如因此产生的一切不良后果与文章作者和本公众号无关。如有侵权烦请告知，我们会立即删除并致歉。谢谢！本文来自内部学员的分享报告。 文章内容 1.昨天不是爆了naco
继续阅读近期暗网0day售卖情报
近期暗网0day售卖情报 原创 cybernews OSINT研习社 2024-07-16 18:40 目录： 暗网论坛上出现疑似 Docker 容器逃逸事件 黑客声称出售 Netgear Orbi 的 0day（Preauth RCE） 黑客声称出售 phpBB 的 SQL 注入漏洞 威胁者出售 OpenSSH 9.6 版命令注入漏洞 Pi-hole 上存在所谓的 CVE-2024-21762
继续阅读活动｜BKSRC组件命令执行漏洞专项测试活动三期开始啦～～～最后机会，欢迎上车～～～
活动｜BKSRC组件命令执行漏洞专项测试活动三期开始啦～～～最后机会，欢迎上车～～～ 贝壳安全应急响应中心 2024-07-16 18:31 点击蓝字 关注我们 活动时间： 7月17日10:00——7月24日24:00 收集范围 一、漏洞范围（以下条件均需满足） 1） 域名范围：.ke.com、.lianjia.com、.realsee.com、.ehomepay.com.cn、*.bkjk.co
继续阅读新手飞跃！零基础Android漏洞挖掘全攻略（实战+技巧）
新手飞跃！零基础Android漏洞挖掘全攻略（实战+技巧） 釉子 看雪学苑 2024-07-16 17:59 Android漏洞挖掘是通过技术手段在Android系统或应用中寻找潜在安全漏洞的过程。这种挖掘方法涵盖了权限提升、信息泄露、远程代码执行等多种漏洞类型。采用静态代码分析、动态调试和模糊测试等技术手段，有助于发现并修复这些漏洞，从而提高系统安全性，保护用户隐私，促进软件质量提升。对于个人而
继续阅读网络攻击提速惊人：PoC发布22分钟内被黑客利用
网络攻击提速惊人：PoC发布22分钟内被黑客利用 网络安全应急技术国家工程中心 2024-07-16 15:22 根据Cloudflare发布的2024年应用安全报告，黑客在漏洞概念验证（PoC）利用发布后仅22分钟便可在实际攻击中加以武器化。该报告涵盖了2023年5月至2024年3月期间的网络攻击活动，重点介绍了新兴威胁趋势。以下是报告的几个重点发现： 攻击大提速：22分钟内武器化PoC Clo
继续阅读上周关注度较高的产品安全漏洞(20240708-20240714)
上周关注度较高的产品安全漏洞(20240708-20240714) 国家互联网应急中心CNCERT 2024-07-16 10:11 一、境外厂商产品漏洞 1、Siemens SIPROTEC 5 devices弱加密漏洞**** SIPROTEC 5 devices为变电站和其他应用领域提供一系列集成保护、控制、测量和自动化功能。Siemens SIPROTEC 5 devices存在弱加密漏洞
继续阅读