【漏洞预警】Fortinet FortiSIEM命令注入漏洞（CVE-2024-23108） cexlife 飓风网络安全 2024-05-29 22:19 漏洞描述: FortiSIEM是Fortinet公司的安全信息和事件管理 (SIEM) 解决方案,它通过提供增强的可见性和控制,帮助组织更有效地管理和保护其网络资产,2024年5月29日，监测到FortinetFortiSIEM命令注入漏洞（
继续阅读「漏洞复现」用友U8 CRM uploadfile 文件上传漏洞 冷漠安全 冷漠安全 2024-05-29 21:42 0x01 免责声明 免责声明 请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，作者不为此承担任何责任。工具来自网络，安全性自测，如有侵权请联系删除。本次测试仅供学习使用，如若非法他用，与平台和本文作者无
继续阅读src-歪门邪道分享+支付漏洞挖掘 1581495545157366 Z2O安全攻防 2024-05-29 20:49 点击上方[蓝字]，关注我们 建议大家把公众号“Z2O安全攻防”设为星标，否则可能就看不到啦！ 因为公众号现在只对常读和星标的公众号才能展示大图推送。操作方法：点击右上角的【…】，然后点击【设为星标】即可。 免责声明 本文仅用于技术讨论与学习，利用此文所提供的信息而造成
继续阅读TP-Link 游戏路由器漏洞使用户面临远程代码攻击 信息安全大事件 2024-05-29 20:03 TP-Link Archer C5400X 游戏路由器 中披露了一个严重性最高的安全漏洞，该漏洞可能通过发送特制请求在易受攻击的设备上导致远程代码执行。 该漏洞被跟踪为 CVE-2024-5035，CVSS 分数为 10.0 。它会影响路由器固件的所有版本，包括 1_1.1.6 及之前版本。它已
继续阅读【安全圈】AI 平台 Replicate 曝“跨租户攻击”安全隔离漏洞，用户自训练人工智能模型可被黑客入侵 安全圈 2024-05-29 19:00 关键词 信息窃取 安全公司 Wiz 近日发布报告，宣称开源 AI 模型共享平台 Replicate 存在重大漏洞，黑客可通过恶意模型进行“跨租户攻击”（IT之家注：即利用存在于多租户环境中的安全漏洞访问 / 干扰其他租户的数据资源），从而导致平台用户
继续阅读【新】万户协同办公平台 ezEIP success存在反序列化漏洞 小白菜安全 小白菜安全 2024-05-29 18:50 免责声明 该公众号主要是分享互联网上公开的一些漏洞poc和工具， 利用本公众号所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，本公众号及作者不为此承担任何责任，一旦造成后果请自行承担！如果本公众号分享导致的侵权行为请告知，我们会立即删除并道歉。 漏洞影
继续阅读0day Windows更新7.2：理解符号链接 看雪课程 看雪学苑 2024-05-29 17:59 本周末还有直播哦，敬请关注~ 漏洞挖掘技能是一项非常重要的技能，它可以帮助企业发现并修复系统中的漏洞，从而提高系统的安全性，保护企业的重要数据和资产。同时，它也能帮助企业降低安全风险，避免因为漏洞被攻击而导致的数据泄露、系统瘫痪等问题。 此外，漏洞挖掘技能的学习和实践可以帮助企业员工提高安全意识
继续阅读【已复现】Atlassian Confluence 远程代码执行漏洞(CVE-2024-21683)安全风险通告第二次更新 奇安信 CERT 2024-05-29 17:30 ● 点击↑蓝字关注我们，获取更多安全风险通告 漏洞概述 漏洞名称 Atlassian Confluence Data Center and Server 远程代码执行漏洞 漏洞编号 QVD-2024-20148,CVE-2
继续阅读招募精英猎手，“矩阵杯”国产软硬件安全检测赛、原创漏洞挖掘赛等你来秀！ 赛查查 2024-05-29 16:49 日前，备受瞩目的首届“矩阵杯”网络安全大赛（以下简称“矩阵杯”大赛）正式官宣启幕。作为“矩阵杯”大赛的关键组成部分，漏洞挖掘赛设置通用产品漏挖赛、国产软硬件安全检测赛、原创漏洞挖掘赛三大精彩赛事，并引入了奖金共享机制。 矩阵杯”网络安全大赛报名已于4月26日火热启动！其中漏洞挖掘赛——
继续阅读万户ezEIP企业管理系统success.aspx接口存在远程命令执行漏洞 附POC 南风徐来 南风漏洞复现文库 2024-05-29 16:49 免责声明：请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果与文章作者无关。该文章仅供学习用途使用。 1. 万户ezEIP企业管理系统简介 微信公众
继续阅读【安全科普】一文读懂文件上传漏洞（附实战详解） 学习网络安全到 开源聚合网络空间安全研究院 2024-05-29 16:48 网 安 教 育 培 养 网 络 安 全 人 才 技 术 交 流 、 学 习 咨 询 前言 自从学完文件上传后，寻思总结一下，但一直懒惰向后推迟，最近要准备面试了，就趁此机会写一下。 文件上传漏洞介绍 文件上传漏洞是指用户上传了一个可执行的脚本文件，并通过此脚本文件获得了执行
继续阅读张一峰：重点关注新应用场景衍生的新漏洞 长亭安全观察 2024-05-29 15:36 【编者按】 微软公司披露“Dirty Stream”安全漏洞、iPhone手机遭遇“史上最复杂攻击”……今年以来，一系列热点事件将移动端安全话题推上了风口。当前，各类移动端应用层出不穷，带来诸多便利的同时，安全问题也日益凸显。近期，我们邀请多位互联网领域专家学者、创业精英，从不同角度深入探讨移动端安全的现状挑战
继续阅读「漏洞复现」用友NC linkVoucher SQL注入漏洞 冷漠安全 冷漠安全 2024-05-28 22:10 0x01 免责声明 免责声明 请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，作者不为此承担任何责任。工具来自网络，安全性自测，如有侵权请联系删除。本次测试仅供学习使用，如若非法他用，与平台和本文作者无关，
继续阅读零知识证明的先进形式化验证：两个ZK漏洞的深度剖析 原创 CertiK CertiK 2024-05-28 22:00 在之前的文章中，我们讨论了零知识证明的先进形式化验证：如何验证一条ZK指令 。通过形式化验证每条zkWasm指令，我们能够完全验证整个zkWasm电路的技术安全性和正确性。在本文中，我们将关注 发现漏洞的视角 ，分析在审计和验证过程中发现的具体漏洞，以及从中得到的经验和教训 。如
继续阅读CVE-2024-3552 WordPress-Web Directory Free SQL注入漏洞复现 原创 CatalyzeSec CatalyzeSec 2024-05-28 19:02 漏洞描述 Web Directory Free是WordPress上建立在线目录网站的插件，使用该插件可以非常容易地将任何现有站点转换为功能齐全的目录业务网站。web-directory-free插件存在未
继续阅读【风险通告】ShowDoc存在远程代码执行漏洞 安恒研究院 安恒信息CERT 2024-05-28 18:30 漏洞概述 漏洞名称 ShowDoc存在远程代码执行漏洞 安恒CERT评级 1级 CVSS3.1评分 10.0（安恒自评） CVE编号 未分配 CNVD编号 未分配 CNNVD编号 未分配 安恒CERT编号 WM-202405-000003 POC情况 未发现 EXP情况 未发现 在野利用
继续阅读大华智慧园区综合管理平台 /ipms/barpay/pay RCE漏洞 小白菜安全 小白菜安全 2024-05-28 18:26 免责声明 该公众号主要是分享互联网上公开的一些漏洞poc和工具， 利用本公众号所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，本公众号及作者不为此承担任何责任，一旦造成后果请自行承担！如果本公众号分享导致的侵权行为请告知，我们会立即删除并道歉。 漏
继续阅读某Android网址封装系统存在SQL注入漏洞 原创 Swimt 星悦安全 2024-05-28 18:20 漏洞简介 Android网址封装系统可以将网址打包封装成APK(暂不支持打包成IOS 应用),类似于变色龙打包APP,不过现在网上打包APP的都开始收费(100软妹币/年)和实名了 源码带安装教程和常见问题的解决方案,这只是一个demo. 资产详情 fofa：body="暂未提供
继续阅读OA-EXPTOOL漏洞综合利用框架 LittleBear4 七芒星实验室 2024-05-28 18:11 项目介绍 OA-EXPTOOL是一款 OA综合利用工具，集合将近20款OA漏洞批量扫描**** 使用方式 – 第一次使用脚本请运行pip3 install -r requirements.txt 面板是所有参数了致远就输入 zyscan tab键有补全命令的功能 进入后help
继续阅读VCTF apple 复现(apple的通用模板) ElegyYuan0x1 看雪学苑 2024-05-28 17:59 本文参考的是Arahat0师傅（https://passport.kanxue.com/user-center-964693.htm）的脚本，这里主要介绍一下vctf apple的house of apple部分的思路。与常规的house of apple不同，这里将_wide
继续阅读研究员披露WinRAR中的ANSI转义序列注入漏洞 看雪学苑 看雪学苑 2024-05-28 17:59 近日，安全研究员Siddharth Dushantha发现WinRAR这款流行文件压缩软件中存在ANSI转义序列注入漏洞，可能被利用来欺骗用户或是导致系统崩溃。 该漏洞（Linux、Unix系统：CVE-2024-33899；Windows系统：CVE-2024-36052）影响早于WinRA
继续阅读用户面临远程代码攻击！TP-Link 游戏路由发现高危漏洞 安全客 安全客 2024-05-28 17:27 TP-Link Archer C5400X 游戏路由器 被披露存在一个最高严重性安全漏洞 ，该漏洞可能通过发送特制的请求导致易受攻击的设备执行远程代码。 该漏洞被标记为 CVE-2024-5035 ，CVSS 评分为 10.0。它会影响路由器固件的所有版本，包括 1_1.1.6 及之前版本
继续阅读快速定位漏洞 BBScan 3.0 是一个高并发的、轻量级的Web漏洞扫描工具 原创 lijiejie 网安守护 2024-05-28 17:08 BBScan 是一个高并发的、轻量级的Web漏洞扫描工具。它帮助安全工程师从大量目标中，快速发现，定位可能存在弱点的目标，辅助半自动化测试。 BBScan is a fast and light-weight web vulnerability sca
继续阅读苹果WiFi定位系统漏洞可监控全球数亿设备 安信安全 安信安全 2024-05-28 17:00 近日，美国马里兰大学的安全研究人员发表论文披露苹果设备的Wi-Fi定位系统（WPS）存在安全设计缺陷，可用于大规模监控全球用户（不使用苹果设备的人也会被监控），从而导致全球性隐私危机。 研究者还在俄乌战场和以色列哈马斯加沙冲突地带实际验证了该漏洞的有效性和危险性。 比GPS更可怕的WPS定位：可监控全
继续阅读上周关注度较高的产品安全漏洞(20240520-20240526) 国家互联网应急中心CNCERT 2024-05-28 16:20 一、境外厂商产品漏洞 1、IBM Cognos Controller信息泄露漏洞（CNVD-2024-23286） IBM Cognos Controller是美国国际商业机器（IBM）公司的一套商业智能与计划解决方案。该产品具有流程自动化、财务审计控制、创建和管理
继续阅读漏洞通告 | Showdoc 远程代码执行漏洞 原创 微步情报局 微步在线研究响应中心 2024-05-28 16:00 漏洞概况 ShowDoc是一个功能强大、易于使用、免费开源的文档管理系统。通过ShowDoc，可以方便地使用Markdown语法来书写出美观的API文档、数据字典文档、技术文档、在线Excel文档。 近日，微步漏洞团队获取到Showdoc 远程代码执行漏洞情报（https://
继续阅读雷神众测漏洞周报2024.05.20-2024.05.26 原创 雷神众测 雷神众测 2024-05-28 15:00 摘要 以下内容，均摘自于互联网，由于传播，利用此文所提供的信息而造成的任何直接或间接的后果和损失，均由使用者本人负责，雷神众测以及文章作者不承担任何责任。雷神众测拥有该文章的修改和解释权。如欲转载或传播此文章，必须保证此文章的副本，包括版权声明等全部内容。声明雷神众测允许，不得任
继续阅读BBScan3.0，一个高并发的Web漏洞扫描工具，辅助API安全测试 扫不到漏洞的 李姐姐的扫描器 2024-05-28 12:07 背景 随着时间推移，BBScan作为一款漏洞扫描工具已经过时，在9年前，这样的工具还能够以数量和速度优势，捡到一些中低危漏洞，但如今，确实是扫不到什么有价值的东西了。 常见Web框架 引 入了更多的默认安全设计、WAF/RASP等防护技术更加成熟，曾经常见的SQL
继续阅读SRC实战：指纹识别->代码执行 迪哥讲事 2024-05-27 21:00 一.发现目标 今天不小心渗透测试其它目标时点进了北京外国语大学的一个oa登陆界面 看着有点眼熟，于是去识别了一下指纹 蓝凌OA，老熟人，于是我们用一下历史漏洞打一下这个站 二.漏洞验证 验证漏洞是否可以利用，可以访问该接口 页面如下 成功访问 有戏，那我们接着利用一下 三.漏洞利用 构造上传文件，guyue.jsp
继续阅读一文了解往年热门的漏洞-shiro 原创 CatalyzeSec CatalyzeSec 2024-05-27 20:27 什么是shiro Apache Shiro 框架是一个功能强大且易于使用的 Java 安全框架，它执行身份验证、授权、加密和会话管理。借助 Shiro 易于理解的 API，您可以快速轻松地保护任何应用程序——从最小的移动应用程序到最大的 Web 和企业应用程序。 CVE-20
继续阅读