安全热点周报：Apache Tomcat RCE 漏洞遭两步利用
安全热点周报：Apache Tomcat RCE 漏洞遭两步利用 奇安信 CERT 2025-04-07 17:44 安全资讯导视 • 《关键信息基础设施安全测评要求》公安行业标准发布 • 哈尔滨亚冬会赛事信息系统遭境外网络攻击超27万次，攻击源大部来自美国 • 俄乌黑客展开铁路大战，运营系统瘫痪殃及百万民众 PART01 漏洞情报 1.Zabbix groupBy SQL注入漏洞安全风险通告
继续阅读标签： 新闻
漏扫设备误报漏洞处理；数据安全事件中的 “开盒” 防护| FB甲方群话题讨论
漏扫设备误报漏洞处理；数据安全事件中的 “开盒” 防护| FB甲方群话题讨论 FreeBuf 2025-04-03 19:24 各位 Buffer 晚上好，FreeBuf 甲方群话题讨论第252期来了！FB甲方社群不定期围绕安全热点事件、前沿技术、运营体系建设等话题展开讨论，Kiki 群助手每周整理精华、干货讨论内容，为您提供一手价值信息。 话题抢先看 1、漏扫设备会将一些的特殊漏洞也写到报告之中
继续阅读Firefox 存在严重漏洞，类似于 Chrome 已遭利用0day
Firefox 存在严重漏洞，类似于 Chrome 已遭利用0day Ravie Lakshmanan 代码卫士 2025-03-28 17:41 聚焦源代码安全，网罗国内外最新资讯！ 编译：代码卫士 Mozilla 公司发布更新，修复了影响其 Firefox Windows 版本的一个严重漏洞，而该漏洞与此前已遭利用的 Chrome 0day类似。 Mozilla 公司修复的漏洞编号是CVE-2
继续阅读小红书被曝高频获取用户信息，官方回应；Google Chrome零日漏洞已被在野利用，无需用户交互即可绕过沙盒保护 | 牛览
小红书被曝高频获取用户信息，官方回应；Google Chrome零日漏洞已被在野利用，无需用户交互即可绕过沙盒保护 | 牛览 安全牛 2025-03-27 18:08 新闻速览 •小红书被曝高频获取用户信息，官方回应 •冒充客服窃取2.43亿美元，加密货币盗窃案主犯Wiz落网 •夸大网络安全评分，美国国防承包商付出460万美元代价 •黑客利用电子犯罪工具Atlantis AIO对140多个平台进行
继续阅读中消协提示：谨防“免密支付”盗刷漏洞；Kubernetes“噩梦”：Ingress NGINX控制器漏洞威胁6500个集群|牛览
中消协提示：谨防“免密支付”盗刷漏洞；Kubernetes“噩梦”：Ingress NGINX控制器漏洞威胁6500个集群|牛览 安全牛 2025-03-26 18:14 新闻速览 •中消协提示：谨防“免密支付”盗刷漏洞 •一机构查询系统存在重大泄露风险被查处 •NIST最新报告：AI安全防护面临重大挑战与局限 •银行恶意软件+社会工程学，受害移动用户激增3.6倍至近25万 •马来西亚机场遭遇网络
继续阅读研究显示：超300万财富500强员工账户凭证近三年内遭泄露；严重漏洞威胁Next.js应用，攻击者可绕过授权访问管理面板 |牛览
研究显示：超300万财富500强员工账户凭证近三年内遭泄露；严重漏洞威胁Next.js应用，攻击者可绕过授权访问管理面板 |牛览 安全牛 2025-03-25 18:29 新闻速览 • 研究显示： 超300万财富500强员工账户凭证在近三年内遭泄露 •欧盟严重有组织犯罪威胁评估：混合威胁与AI重塑犯罪格局 • 一公司因OA系统数据安全保障不力被罚 •前密歇根大学橄榄球教练因未授权访问和身份盗窃被起
继续阅读利用Fortinet漏洞LockBit Black勒索病毒样本分析
利用Fortinet漏洞LockBit Black勒索病毒样本分析 安全分析与研究 2025-03-24 08:31 安全分析与研究 专注于全球恶意软件的分析与研究 前言概述 最近几年勒索病毒已经席卷全球，全球范围内越来越多的政府、企业，组织机构等受到勒索病毒黑客组织的攻击，几乎每天都有企业被勒索病毒攻击的新闻被曝光，可能还有更多的企业被勒索病毒攻击之后，选择默默交纳赎金，由于勒索病毒太过于暴利，
继续阅读白帽SRC百洞事件复盘；业务漏洞应对处理策略| FB甲方群话题讨论
白帽SRC百洞事件复盘；业务漏洞应对处理策略| FB甲方群话题讨论 FreeBuf 2025-03-22 18:01 各位 Buffer 晚上好，FreeBuf 甲方群话题讨论第251期来了！FB甲方社群不定期围绕安全热点事件、前沿技术、运营体系建设等话题展开讨论，Kiki 群助手每周整理精华、干货讨论内容，为您提供一手价值信息。 话题抢先看 1、猜测一下某企业SRC事件会被挖到这么多洞，可能的原
继续阅读全球服务器正遭PHP漏洞精准爆破
全球服务器正遭PHP漏洞精准爆破 知机安全 知机安全 2025-03-22 16:02 1. PHP安全漏洞被利用，攻击者传播Quasar RAT和加密矿工 PHP中存在一个严重的安全漏洞CVE-2024-4577，威胁者利用该漏洞在Windows系统中传播Quasar RAT等RAT以及加密货币挖掘工具，全球范围内多个地区成为重点攻击目标。网络安全公司Bitdefender报告，Taiwan、香
继续阅读风险研究 | AI 安全警钟响起：Manus AI 漏洞暴露的背后真相
风险研究 | AI 安全警钟响起：Manus AI 漏洞暴露的背后真相 安全极客 2025-03-21 18:47 一场泄露引发的风暴 想象一下，你手中的 AI 智能助手突然暴露了自己的“内心秘密”——核心指令、运行代码，甚至可能泄露你的隐私数据。这不是科幻电影，而是刚刚发生在 Manus AI 身上的真实事件。一名用户通过简单操作，就轻松获取了这款 AI 代理的系统提示词，揭开了 AI 安全隐患
继续阅读国家互联网信息办公室、公安部联合公布《人脸识别技术应用安全管理办法》；IBM AIX曝满分高危漏洞，可导致系统完全沦陷 |牛览
国家互联网信息办公室、公安部联合公布《人脸识别技术应用安全管理办法》；IBM AIX曝满分高危漏洞，可导致系统完全沦陷 |牛览 安全牛 2025-03-21 17:36 新闻速览 •国家互联网信息办公室、公安部联合公布《人脸识别技术应用安全管理办法》 •英国NCSC设定2035年为后量子密码迁移最后期限，提出三阶段迁移计划 •警惕新型隐写术恶意软件，利用JPEG文件分发信息窃取程序 •Cisco
继续阅读百度对“开盒”事件发布声明，已报案；美国西部联盟银行遭遇第三方供应商零日漏洞攻击，2.2万客户数据遭泄露 | 牛览
百度对“开盒”事件发布声明，已报案；美国西部联盟银行遭遇第三方供应商零日漏洞攻击，2.2万客户数据遭泄露 | 牛览 安全牛 2025-03-20 16:59 新闻速览 •目录 百度对“开盒”事件发布声明，已报案 •通过电子商务骗局获利1400万美元，Click Profit 被封禁 •WhatsApp修复被Paragon间谍软件攻击利用的零点击零日漏洞 •Infosys因第三方数据泄露事件达成17
继续阅读顶流明星在澳门输了10亿？一男子用AI造谣被行拘8天；多平台SSRF漏洞遭遇协同攻击，逾400个IP同时启动 | 牛览
顶流明星在澳门输了10亿？一男子用AI造谣被行拘8天；多平台SSRF漏洞遭遇协同攻击，逾400个IP同时启动 | 牛览 安全牛 2025-03-14 16:32 新闻速览 •顶流明星在澳门输了10亿？一男子用AI造谣被行拘8天 •导致1.8万名客户数据泄露，澳大利亚FIIG因网络安全失误遭起诉 •因泄露用户信息被罚款67亿韩元，韩国法院驳回Meta上诉 •多平台SSRF漏洞遭遇协同攻击，逾400个
继续阅读MFA告急！黑客利用高级技术绕过保护；WebKit零日漏洞被利用开展“极其复杂”定向攻击，苹果紧急修复 | 牛览
MFA告急！黑客利用高级技术绕过保护；WebKit零日漏洞被利用开展“极其复杂”定向攻击，苹果紧急修复 | 牛览 安全牛 2025-03-13 18:36 新闻速览 •英国网络安全行业收入增长12%突破130亿英镑 •机器身份数量超过人类用户4万倍，风险增加7.5倍 •MFA告急！黑客利用高级技术绕过保护 •微软修复6个零日漏洞和10个高风险漏洞 •新型Ebyte勒索软件来袭，采用先进加密策略攻击
继续阅读警惕！黑客组织 Lazarus 在 npm 平台投放恶意软件包；SolarWinds网络帮助台漏洞曝光：攻击者可解密敏感密码
警惕！黑客组织 Lazarus 在 npm 平台投放恶意软件包；SolarWinds网络帮助台漏洞曝光：攻击者可解密敏感密码 安全牛 2025-03-12 18:10 新闻速览 •数据保护不力致20万驾照信息泄露，Allstat子公司National General被起诉 •报告显示：2024年95%数据泄露事件与人为失误相关 •蓄意破坏公司系统， 前雇员面临10年监禁 •警惕！黑客组织Laza
继续阅读公安部网安局提醒：警惕5种个税汇算骗局；新型勒索团伙SecP0出新招：威胁公开未披露软件漏洞 | 牛览
公安部网安局提醒：警惕5种个税汇算骗局；新型勒索团伙SecP0出新招：威胁公开未披露软件漏洞 | 牛览 安全牛 2025-03-07 15:48 点击蓝字·关注我们 / aqniu 新闻速览 •公安部网安局提醒：警惕5种个税汇算骗局 •工信部CSTIS提醒：防范针对DeepSeek本地化部署实施网络攻击的风险 •NIST发布《评估差分隐私保证指南》 •5欧元二手硬盘藏15GB敏感医疗记录，数据
继续阅读逾10亿美元Bybit被盗加密货币已初步进行洗钱，引发全球追踪；WordPress插件RCE漏洞曝光，威胁超10万网站 | 牛览
逾10亿美元Bybit被盗加密货币已初步进行洗钱，引发全球追踪；WordPress插件RCE漏洞曝光，威胁超10万网站 | 牛览 安全牛 2025-03-06 17:42 点击蓝字·关注我们 / aqniu 新闻速览 •合规压力过大，金融机构敦促CISA修订网络事件报告规则 •暗网Nemesis管理员遭美国财政部制裁 •逾10亿美元Bybit被盗加密货币已初步进行洗钱，引发全球追踪 •AI伪造
继续阅读CISA漏洞目录竟成勒索攻击“灵感”？28%漏洞被利用；新型网络钓鱼活动滥用微软SharePoint部署Havoc后门 | 牛览
CISA漏洞目录竟成勒索攻击“灵感”？28%漏洞被利用；新型网络钓鱼活动滥用微软SharePoint部署Havoc后门 | 牛览 安全牛 2025-03-04 18:07 点击蓝字·关注我们 / aqniu 新闻速览 •TikTok和Reddit等社交平台在英国受调查，涉嫌侵犯儿童隐私 •CISA漏洞目录竟成勒索攻击“灵感”？28%漏洞被利用 •CISA警告:思科小型企业路由器漏洞遭在野利用
继续阅读黑客正在利用数百个网站的“Krpano”VR库中的反射型XSS漏洞，注入恶意脚本来劫持谷歌的搜索索引并大规模分发垃圾广告
黑客正在利用数百个网站的“Krpano”VR库中的反射型XSS漏洞，注入恶意脚本来劫持谷歌的搜索索引并大规模分发垃圾广告 Ots安全 2025-03-01 11:20 我是如何意外发现互联网上最常被利用的 XSS 漏洞之一的 我的故事开头可能和许多技术博客的读者一样熟悉——又是一个独自坐在电脑前，平淡无奇的夜晚。出于纯粹的学习目的，我打开了一个 Chrome 隐身窗口，进入 Google，输入了“
继续阅读方正畅享全媒体新闻采编系统reportCenter.do/screen.do接口存在SQL注入 漏洞预警
方正畅享全媒体新闻采编系统reportCenter.do/screen.do接口存在SQL注入 漏洞预警 2025-2-28更新 南风漏洞复现文库 2025-02-28 22:22 免责声明：请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果与文章作者无关。该文章仅供学习用途使用。 1. 方正畅
继续阅读大模型微调爆出致命漏洞：可导致模型“黑化”
大模型微调爆出致命漏洞：可导致模型“黑化” GoUpSec 2025-02-28 02:12 GoUpSec点评：大模型微调作为当前AI应用落地的热点，正推动AI技术在各行业的深度融合。然而，一个与微调相关的巨大风险逐渐浮出水面：大模型微调不当，不仅会影响目标功能，还可能引发模型在其他领域发生紊乱，输出异常甚至有害的结果，导致整个大模型的黑化。这一发现凸显了大模型对齐的脆弱性，以及大模型微调的潜在
继续阅读棉花糖居然被开盒了！
棉花糖居然被开盒了！ 棉花糖糖糖 阿乐你好 2025-02-28 01:00 前情提要： 由于我被逆天哥开盒，所以本文将带领大家细说这位逆天开盒哥：红岸基地赵小龙的逆天事迹。 有些师傅不知道赵小龙是谁，给大家讲一下。 暗影网安实验室，红岸基地网络安全，这俩公众号都是他的 （有一说一，红岸、暗影，中不中二啊….自己起名字的时候笑没笑） ，我的好友列表甚至还有不少关注，看到这篇文章请你自行
继续阅读警惕！全景框架Krpano漏洞遭大规模利用，350+网站被植入垃圾广告
警惕！全景框架Krpano漏洞遭大规模利用，350+网站被植入垃圾广告 原创 Hankzheng 技术修道场 2025-02-28 00:18 近日，知名虚拟导览框架Krpano的一个跨站脚本（XSS）漏洞被黑客大规模利用，超过350个网站被注入恶意脚本，用于操纵搜索结果并推广垃圾广告。 安全研究员Oleg Zaytsev发现了一场名为“360XSS”的网络攻击活动，该活动利用了虚拟导览框架Krp
继续阅读网络安全事件分级分类
网络安全事件分级分类 原创 洁说安全 网络安全和等保测评 2025-02-27 23:05 网络安全事件分级分类是指根据网络安全事件的性质、危害程度、影响范围等因素，将其划分为不同的等级和类别，以便于采取相应的应对措施和管理策略。以下是对分级分类含义的详细解释： · 含义 · 1.网络安全事件分级 是对网络安全事件的严重程度进行量化和区分，一般从低到高分为不同级别，主要目的是为了清晰地界定事件的危
继续阅读9.9分漏洞或导致2850多台Ivanti设备系统完全受损；三星系统推出业界首款后量子加密芯片S3SSE2A | 牛览
9.9分漏洞或导致2850多台Ivanti设备系统完全受损；三星系统推出业界首款后量子加密芯片S3SSE2A | 牛览 安全牛 2025-02-27 09:39 点击蓝字·关注我们 / aqniu 新闻速览 •OpenSSF发布Linux开源软件安全基线标准 •红队工具MITRE Caldera关键漏洞曝光，PoC代码已公开 •黑客组织EncryptHub疯狂入侵618家机构，盗取敏感数据 •
继续阅读特朗普“跪舔”马斯克虚假视频惊现美国政府部门大楼；CISA紧急警告：Oracle Agile高危反序列化漏洞正被活跃利用 |牛览
特朗普“跪舔”马斯克虚假视频惊现美国政府部门大楼；CISA紧急警告：Oracle Agile高危反序列化漏洞正被活跃利用 |牛览 安全牛 2025-02-25 10:02 点击蓝字·关注我们 / aqniu 新闻速览 •特朗普“跪舔”马斯克虚假视频惊现美国政府部门大楼 •澳大利亚政府出于安全顾虑，禁用卡巴斯基软件 •CISA紧急警告：Oracle Agile高危反序列化漏洞正被活跃利用 •由1
继续阅读[开源 Prompt] AI 增强的漏洞优先级排序
[开源 Prompt] AI 增强的漏洞优先级排序 原创 tonghuaroot RedTeam 2025-02-21 12:15 Databricks 利用 LLM 针对第三方组件漏洞进行优先级排序，准确率达到了85%，安全团队人工分析的工作量减少了超过95%。 前言 如何针对第三方组件的安全漏洞进行修复的优先级排序是一个行业难题。人工监控和分析每天发布的大量安全漏洞信息的成本非常高。 Data
继续阅读攻击者利用 Check Point 漏洞部署 ShadowPad 和勒索软件
攻击者利用 Check Point 漏洞部署 ShadowPad 和勒索软件 会杀毒的单反狗 军哥网络安全读报 2025-02-21 01:01 导读 一个此前未知的威胁活动集群针对欧洲组织，特别是医疗保健组织，部署 PlugX 及其后继产品 ShadowPad，而在某些情况下，这些入侵最终导致部署名为 NailaoLocker 的勒索软件。 该活动代号为 Green Nailao，涉及利用 Ch
继续阅读Salt Typhoon 使用定制恶意软件 JumbledPath 监视美国电信服务商
Salt Typhoon 使用定制恶意软件 JumbledPath 监视美国电信服务商 会杀毒的单反狗 军哥网络安全读报 2025-02-21 01:01 导读 Cisco Talos 研究人员报告称，Salt Typhoon威胁组织使用一种名为 JumbledPath 的定制实用程序来监视美国电信网络流量。 思科 Talos 研究人员的报告称，Salt Typhoon 入侵美国主要电信公司已超过
继续阅读软件供应链攻击：一次价值50,500美元的重大漏洞发现
软件供应链攻击：一次价值50,500美元的重大漏洞发现 原创 安全小白团译文 安全小白团 2025-02-17 00:31 forever young 不论昨天如何，都希望新的一天里，我们大家都能成为更好的人，也希望我们都是走向幸福的那些人 01 引言 安全小白团 2021 年，我还在进攻性安全领域的早期阶段。虽然我已经成功入侵了几家公司，并通过漏洞赏金狩猎（Bug Bounty Hunting）
继续阅读