【漏洞通告】Spring Security 静态资源未授权访问漏洞(CVE-2024-38821) 深瞳漏洞实验室 深信服千里目安全技术中心 2024-10-31 17:54 漏洞名称： Spring Security 静态资源未授权访问漏洞(CVE-2024-38821) 组件名称： 威睿-Spring Security 影响范围： Spring Security ≤ 5.7.125.8.0 ≤
继续阅读【已复现】Spring Security 静态资源权限绕过漏洞(CVE-2024-38821)安全风险通告 奇安信 CERT 2024-10-31 15:30 ● 点击↑蓝字关注我们，获取更多安全风险通告 漏洞概述 漏洞名称 Spring Security 静态资源权限绕过漏洞 漏洞编号 QVD-2024-43514,CVE-2024-38821 公开时间 2024-10-25 影响量级 万级
继续阅读【漏洞复现】Apache Solr路径身份验证绕过漏洞CVE-2024-45216 cexlife 飓风网络安全 2024-10-30 22:23 漏洞描述: ApacheSolr是基于ApacheLucene构建的开源搜索平台,PKIAuthenticationPlugin是SolrCloud模式下的身份验证插件,受影响版本中由于PKIAuthenticationPlugin类未正确过滤用户的请
继续阅读【漏洞通告】Apache Solr 认证绕过漏洞(CVE-2024-45216) 深瞳漏洞实验室 深信服千里目安全技术中心 2024-10-30 17:59 漏洞名称： Apache Solr 认证绕过漏洞(CVE-2024-45216) 组件名称： Apache-Solr 影响范围： 5.3.0 ≤ Apache Solr < 8.11.49.0.0 ≤ Apache Solr <
继续阅读这谁防得住？Wi-Fi 联盟官方测试套件中存在命令注入漏洞 数世咨询 2024-10-30 16:00 计算机应急响应小组 (CERT) 协调中心 (CERT/CC) 研究人员发现Wi-Fi联盟测试套件中存在命令注入漏洞，该漏洞的编号为CVE-2024-41992，Wi-Fi 联盟的易受攻击代码已发现部署在 Arcadyan（智易科技） FMIMG 51AX000J 路由器上。 01 WiFi测试
继续阅读谷歌：2023年披露的被利用漏洞中有70%是零日漏洞 胡金鱼 嘶吼专业版 2024-10-30 15:45 Google Mandiant 安全分析师表示，在 2023 年披露的 138 个被积极利用的漏洞中，有 97 个（70.3%）被用作零日漏洞。 这意味着威胁者在受影响的供应商知道错误存在或能够修补它们之前，就已经利用了攻击中的缺陷。 从 2020 年到 2022 年，已修复漏洞与无可用修复
继续阅读【复现】 Apache Solr身份认证绕过漏洞（CVE-2024-45216）风险通告 原创 赛博昆仑CERT 赛博昆仑CERT 2024-10-30 11:50 赛博昆仑漏洞安全通告- Apache Solr身份认证绕过漏洞（CVE-2024-45216）风险通告 漏洞描述 Apache Solr 是一个开源的全文搜索引擎平台，基于 Lucene（一个高效的开源搜索库）。它提供了分布式搜索和索
继续阅读可任意文件读取，警惕Solr身份绕过形成的漏洞利用链 原创 微步情报局 微步在线研究响应中心 2024-10-30 11:40 漏洞概况 Apache Solr是一个基于Apache Lucene的开源企业搜索平台。它提供快速可靠的搜索，分布式索引，复制和负载平衡查询，自动故障转移和恢复，集中化配置以及其他功能。 微步情报局于近日获取到Apache Solr 身份认证绕过漏洞情报（https://
继续阅读BinaryAI更新布告｜漏洞存在性分析功能上线 原创 腾讯科恩实验室 腾讯科恩实验室 2024-10-30 10:03 BinaryAI（https://www.binaryai.cn）**** 腾讯安全科恩实验室二进制安全智能分析平台—BinaryAI，可精准高效识别二进制文件的第三方组件及其版本号，旨在推动SCA（软件成分分析）技术在DevSecOps、威胁情报、安全研究等应用场景发展。 漏
继续阅读开源安全检测的漏洞，从哪些维度考虑整改标准？两种场景下（供应链软件入库，应用投产上线）针对检测的漏洞需要强制修复吗｜总第270周 原创 群秘 君哥的体历 2024-10-30 06:50 0x1本周话题 话题一：请教个问题，大家如何发现员工拍照泄露的？排除水印，因为只能拿到图片后才能溯源，用处很小。 A1： 摄像头 + 行为分析？或者手机和电脑的终端 DLP 软件和网络层的 DLP ；摄像头物理视
继续阅读【成功复现】Palo Alto Networks Expedition 远程命令执行漏洞(CVE-2024-9463) 原创 弥天安全实验室 弥天安全实验室 2024-10-29 18:59 网安引领时代，弥天点亮未来 0x00写在前面 本次测试仅供学习使用，如若非法他用，与平台和本文作者无关，需自行负责！ 0x01漏洞介绍Palo Alto Networks Expedition是美国Pa
继续阅读【已复现】Apache Solr 身份认证绕过漏洞(CVE-2024-45216)安全风险通告第二次更新 奇安信 CERT 2024-10-29 18:21 ● 点击↑蓝字关注我们，获取更多安全风险通告 漏洞概述 漏洞名称 Apache Solr 身份认证绕过漏洞 漏洞编号 QVD-2024-42670,CVE-2024-45216 公开时间 2024-10-16 影响量级 万级 奇安信评级 高
继续阅读研究者揭露微软 Windows 内核的操作系统降级漏洞 看雪学苑 看雪学苑 2024-10-29 17:58 近期，SafeBreach Labs的研究人员揭露了一种名为“Windows Downdate”的新型攻击技术，该技术能够操纵Windows 11系统在更新时降级关键系统组件，使部分漏洞修复补丁失效。这一攻击原理最初于2024年8月在Black Hat USA 2024上披露，现在更多细
继续阅读雷神众测漏洞周报2024.10.21-2024.10.27 原创 雷神众测 雷神众测 2024-10-29 15:48 摘要 以下内容，均摘自于互联网，由于传播，利用此文所提供的信息而造成的任何直接或间接的后果和损失，均由使用者本人负责，雷神众测以及文章作者不承担任何责任。雷神众测拥有该文章的修改和解释权。如欲转载或传播此文章，必须保证此文章的副本，包括版权声明等全部内容。声明雷神众测允许，不得任
继续阅读上周关注度较高的产品安全漏洞(20241021-20241027) 原创 CNVD CNVD漏洞平台 2024-10-29 09:28 一、境外厂商产品漏洞 1、Adobe Commerce不当授权漏洞（CNVD-2024-41467） Adobe Commerce是美国奥多比（Adobe）公司的一种面向商家和品牌的全球领先的数字商务解决方案。Adobe Commerce存在不当授权漏洞，攻击者可
继续阅读【漏洞预警】Codezips Sales Management System信息泄露漏洞 cexlife 飓风网络安全 2024-10-28 22:33 漏洞描述: 在Cоdеziрѕ Sаlеѕ MаnаɡеmеtSуѕtеm 1.0中发现了一个漏洞,其严重程度被评为“严重”,这个问题影响了文件/аddсuѕtind.рhр中的一些未知功能,通过操纵参数rеfnо,可以导致SQL注入攻击可能从远
继续阅读利用Windows漏洞，攻击者能降级系统组件恢复漏洞 Zicheng FreeBuf 2024-10-28 21:02 据Hackread消息，在最近的一项研究中，SafeBreach Labs 研究员揭露了一种新的攻击技术，能够操纵Windows 11系统在更新时降级关键系统组件，从而让一些漏洞修复补丁失效。 该攻击原理最初于 2024 年 8 月在Black Hat USA 2024上披露，而
继续阅读【干货总结】浅谈src漏洞挖掘中容易出洞的几种姿势 Z2O安全攻防 2024-10-28 20:58 0x1 前言 浅谈 这篇文章主要是想跟师傅们聊下企业src包括平常的渗透测试和众测等项目中的一个拿分点，特别是如何让新手在挖掘企业src的过程中可以挖到漏洞呢，难点的或者好挖的漏洞都被大佬给交走了，那么小白挖src的方向在哪呢，还有冷门的漏洞挖掘方式怎么样，是不是可以挖掘到漏洞呢。 这篇文章也是和
继续阅读针对 Microsoft Windows 内核的操作系统降级漏洞 信息安全大事件 2024-10-28 19:45 一种新的攻击技术可用于绕过 Microsoft 在完全修补的 Windows 系统上的驱动程序签名强制 （ DSE ），从而导致操作系统 （ OS ） 降级攻击。 “这种绕过允许加载未签名的内核驱动程序，使攻击者能够部署自定义 Rootkit ，这些 Rootkit 可以中和安全控制
继续阅读【安全圈】利用Windows漏洞，攻击者能降级系统组件恢复漏洞 安全圈 2024-10-28 19:01 关键词 安全漏洞 据Hackread消息，在最近的一项研究中，SafeBreach Labs 研究员揭露了一种新的攻击技术，能够操纵Windows 11系统在更新时降级关键系统组件，从而让一些漏洞修复补丁失效。 该攻击原理最初于 2024 年 8 月在Black Hat USA 2024上披露
继续阅读【已复现】CyberPanel 远程命令执行漏洞(QVD-2024-44346)安全风险通告 奇安信 CERT 2024-10-28 17:06 ● 点击↑蓝字关注我们，获取更多安全风险通告 漏洞概述 漏洞名称 CyberPanel upgrademysqlstatus 远程命令执行漏洞 漏洞编号 QVD-2024-44346 公开时间 2024-10-27 影响量级 万级 奇安信评级 高危
继续阅读安全热点周报：UNC5820 威胁集群利用 Fortinet 零日漏洞窃取企业配置数据 奇安信 CERT 2024-10-28 17:06 安全资讯导视 • 美国政府发布首份关于人工智能的国家安全备忘录 • 河南两公司泄露大量敏感数据被罚10万元 • 国家网络安全通报中心：多个与某大国政府有关的境外黑客组织持续攻击国内单位企业 PART01 漏洞情报 1.Fortinet FortiManage
继续阅读一键检测 PbootCMS 历史漏洞 原创 xazlsec 信安之路 2024-10-28 14:06 PbootCMS 是全新内核且永久开源免费的PHP企业网站开发建设管理系统，是一套高效、简洁、 强悍的可免费商用的 PHP CMS 源码，能够满足各类企业网站开发建设的需要。 目前 GiiHub 更新至 3.2.10 版，官网下载版为 3.2.5，官方地址： https://www.pbootc
继续阅读ChatGPT中的高级API攻击以及AI供应链漏洞 渊龙Sec安全团队 2024-10-27 23:13 01 简要说明 人工智能和人工智能的安全性正在以惊人的速度发展，AI模型 供应链中使用的工具，用于构建机器学习模型，会使 AI 应用程序容易受到独特的安全威胁。 这些工具是开源的，这意味着它们开箱即用时可能存在漏洞，这些漏洞可直接导致完整的系统接管，例如未经身份验证的远程代码执行或本地文件包含
继续阅读【安全圈】Fortinet安全产品出现高危零日漏洞，已被恶意组织积极利用 安全圈 2024-10-27 19:01 关键词 安全漏洞 网络安全公司 Fortinet 日前披露了自家软件产品 FortiManager 存在的一个关键零日漏洞，能够允许未经身份验证的远程攻击者通过特制请求执行任意代码或命令。目前该漏洞已在野外被积极利用。 根据 Fortinet 10月23日发布的报告，该漏洞被追踪为
继续阅读CVE-2024-47575｜Fortinet FortiManager身份验证不当漏洞 alicy 信安百科 2024-10-26 20:00 0x00 前言 Fortinet是唯一一家提供集中统一管理的供应商，可在复杂的混合环境中设置一致的安全性。集中统一的管理涵盖在本地和云中部署FortiGate下一代防火墙，以及安全SD-WAN、安全WLAN/LAN、Universal ZTNA和Fort
继续阅读InfluxDB JWT未授权漏洞 BMCel 巢安实验室 2024-10-26 16:30 0x00 漏洞简介 InfluxDB是一款时序数据库，其使用JWT作为鉴权方式。在其1.7.6版本以前，默认设置JWT的认证密钥shared-secret为空字符串，导致攻击者可以伪造任意用户身份在InfluxDB中执行SQL语句。 漏洞原理是1.7.6之前的InfluxDB在services/httpd
继续阅读易宝OA GetProductInv SQL注入漏洞 Superhero Nday Poc 2024-10-26 15:16 内容仅用于学习交流自查使用，由于传播、利用本公众号所提供的 POC信息及 POC对应脚本 而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号nday poc及作者不为此承担任何责任，一旦造成后果请自行承担！如文章有侵权烦请及时告知，我们会立即删除文章并致歉。谢
继续阅读RAISECOM网关设备存在远程命令执行漏洞(RCE) 原创 Mstir 星悦安全 2024-10-26 12:31 点击上方 蓝字关注我们 并设为 星标 0x00 前言 瑞斯康达提供系列无线接入产品及解决方案，包含核心网、基站网关、网管、各系列小基站等。具有集约化、IP化、智能化的特点，是一种灵活、高性价比的室内外深度覆盖解决方案。针对运营商补盲、补热和快速部署、快速开通的挑战性需求，满足细分场
继续阅读「漏洞复现」BladeX企业级开发平台 tenant/list SQL 注入漏洞复现(CVE-2024-33332) 冷漠安全 冷漠安全 2024-10-26 12:28 0x01 免责声明 免责声明 请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，作者不为此承担任何责任。工具来自网络，安全性自测，如有侵权请联系删除。本
继续阅读