SpringFramework CVE-2024-38816 路径穿越浅析
当使用 RouterFunctions 来处理静态资源且资源处理通过 FileSystemResource 进行配置时，攻击者可以通过构造恶意 HTTP 请求，利用路径遍历漏洞获取相关受影响版本文件系统中的任意文件。
- 3
- 2
- tkswifty
- 发布于 2024-09-20 14:46:37
- 阅读 ( 8849 )
tkswifty
EOVA未授权反序列化漏洞
EOVA存在JDBC反序列化漏洞，由于JDBC连接mysql服务器的时候，参数完全可控，可传入恶意配置和恶意mysql服务器地址，导致反序列化漏洞。攻击者可利用该漏洞执行任意命令。
- 1
- 2
- Yu9
- 发布于 2024-09-02 09:36:02
- 阅读 ( 7444 )
Yu9
某通UploadFileToCatalog接口SQL注入漏洞分析
某通UploadFileToCatalog接口SQL注入漏洞分析
- 1
- 1
- xiao1star
- 发布于 2024-09-02 11:30:02
- 阅读 ( 7362 )
xiao1star
xhys
IP网络广播服务平台remote-upgrade upload接口文件上传漏洞分析
IP网络广播服务平台是采用云计算的模型分布部署实施的广播系统。云广播系统突破了单台服务器性能瓶颈，支持多层次跨地域广播，构建全省乃至全国的IP网络广播系统，可以广泛应用在农村、连锁机构等需要跨地域统一建设的广播系统中。IP网络广播服务平台存在任意文件上传漏洞，攻击者可利用该漏洞上传webshell，获取服务器权限。
- 2
- 2
- afei00123
- 发布于 2024-09-02 10:00:02
- 阅读 ( 7004 )
CVE-2024-43044 Jenkins Remoting远程代码执行漏洞分析
Jenkins是一个开源软件项目，是基于java开发的一种持续集成工具，用于监控持续重复的工作。而在此过程中，Agent执行机就是其中关键的一部分，负责执行构建和部署任务。简单来说Agent 就是一个独立的进程或者节点，可以是独立的服务器、虚拟机或者是本地机器，用来执行构建和部署任务，当Jenkins主服务器连接到Agent的时候，就可以在该节点上运行相应的任务
- 1
- 0
- kakakakaxi
- 发布于 2024-08-29 15:00:02
- 阅读 ( 6980 )
信呼OA nickName SQL注入漏洞复现(XVE-2024-19304)
信呼OA nickName SQL注入漏洞复现(XVE-2024-19304)
- 0
- 0
- xhys
- 发布于 2024-08-30 09:00:00
- 阅读 ( 6933 )
CVE-2024-42913:若依管理系统sql注入黑名单绕过漏洞分析
CVE-2024-42913:若依管理系统sql注入黑名单绕过漏洞分析
- 0
- 1
- xhys
- 发布于 2024-09-10 09:00:01
- 阅读 ( 6596 )
网传"nacos 0day"
这个"nacos 0day"在今天下午（2024.7.15）在各个公众号和群疯传，漏洞作者在GitHub上给出了POC 没接触过nacos,尝试分析
- 2
- 3
- Stree
- 发布于 2024-07-17 09:55:04
- 阅读 ( 6513 )
Stree
ofbiz权限绕过远程执行漏洞(CVE-2024-45195)
在ofbiz的新版本中,对ProgramExport和EntitySQLProcessor添加了权限校验,如果需要造成命令执行,就需要寻找其他的可执行命令点,这里是viewdatafile,该漏洞可是说是对cve-2024-36104的绕过
- 0
- 0
- yrf2314
- 发布于 2024-09-10 10:00:01
- 阅读 ( 6256 )
Craft CMS远程代码执行漏洞
# Craft CMS远程代码执行漏洞 ## 漏洞简介 **漏洞编号：CVE-2023-41892** Craft CMS是一个创建数字体验的平台。这是一种高影响、低复杂性的攻击媒介。建议在 4.4.15 之前运行 Craft 安...
- 1
- 1
- rev1ve
- 发布于 2024-09-10 08:30:02
- 阅读 ( 6143 )
CVE-2024-41667 OpenAM FreeMarker 模板注入分析
OpenAM是一个开放式的访问管理解决方案。在版本15.0.3及之前的版本中，存在一个模板注入漏洞（CVE-2024-41667）。RealmOAuth2ProviderSettings.java中的`getCustomLoginUrlTemplate`方法由于使用了用户输入而容易受到模板注入攻击。
- 0
- 0
- kakakakaxi
- 发布于 2024-09-10 08:00:00
- 阅读 ( 6051 )
CVE-2024-37759 DataGear v5.0.0 SpEL 表达式注入漏洞分析与复现
本文分析了 DataGear v5.0.0 中的 SpEL 表达式注入漏洞（CVE-2024-37759），该漏洞允许远程代码执行。文章详细介绍了漏洞原理、复现步骤和修复方案，并强调了 SpEL 表达式漏洞的普遍性，建议开发者谨慎使用相关功能。
- 0
- 1
- coconut
- 发布于 2024-09-14 10:10:26
- 阅读 ( 6019 )
CVE-2024-30188 Apache DolphinScheduler 任意文件读写漏洞分析
Apache Dolphinscheduler 是开源的分布式任务调度系统。受影响版本中，由于资源管理功能未对 currentDir 参数进行有效校验，经过身份验证的攻击者可以通过构造恶意的路径参数，绕过目录限制在服务器端读取或写入任意文件。
- 0
- 0
- kakakakaxi
- 发布于 2024-08-30 08:00:02
- 阅读 ( 5864 )
wookteam协作平台searchinfo接口SQL注入漏洞分析
Wookteam是一个支持在线协作管理和沟通的开源平台，后端使用的框架是Laravel7。在wookteam v1.6.6版本中api/users/searchinfo接口存在SQL注入且未对用户身份进行验证！
- 0
- 1
- Yu9
- 发布于 2024-08-29 14:00:00
- 阅读 ( 5653 )
某通-LogDownLoadService-mssql-sql注入漏洞分析
某通-LogDownLoadService-mssql-sql注入漏洞分析
- 0
- 1
- xiao1star
- 发布于 2024-08-29 11:00:00
- 阅读 ( 5558 )
某通电子文档管理系统 SecretKeyService SQL注入漏洞
某通电子文档管理系统 SecretKeyService SQL注入漏洞
- 0
- 2
- xhys
- 发布于 2024-08-29 09:33:34
- 阅读 ( 5494 )
记一次对通天星CMSV6车载视频监控平台的漏洞分析
通天星CMSV6（官网地址：http://www.g-sky.cn/）拥有以位置服务、无线3G/4G视频传输、云存储服务为核心的研发团队，专注于为定位、无线视频终端产品提供平台服务，通天星CMSV6产品覆盖车载录像机、单兵录像机、网络监控摄像机、行驶记录仪等产品的视频综合平台。根据微步在线研究响应中心捕捉到漏洞情报，来对通天星CMSV6车载视频监控平台的漏洞进行分析审计
- 0
- 4
- bmjoker
- 发布于 2024-07-31 10:38:18
- 阅读 ( 5465 )
bmjoker
某安防管理平台任意文件上传漏洞复现分析
由于代码缺陷未对文件进行合法有效的效验，导致其攻击者可以利用此漏洞上传任意文件，包括但不限于webshell，获取主机交互式shell ## 漏洞细节 废话不多说直接action开整，漏...
- 2
- 4
- zhizhuo
- 发布于 2024-08-02 09:36:17
- 阅读 ( 5152 )
万户OA SendFileCheckTemplateEdit-SQL注入
万户OA SendFileCheckTemplateEdit-SQL注入
- 1
- 3
- xhys
- 发布于 2024-09-20 18:05:09
- 阅读 ( 5086 )