立即发帖
筛选:  最新的 推荐的 热门的

网传"nacos 0day"

这个"nacos 0day"在今天下午（2024.7.15）在各个公众号和群疯传，漏洞作者在GitHub上给出了POC 没接触过nacos,尝试分析

  • 1
  • 3
  • Stree
  • 发布于 2024-07-17 09:55:04
  • 阅读 ( 3427 )

某管家印章智慧管理平台 listUploadIntelligent接口sql注入漏洞分析与复现

listUploadIntelligent接口存在 SQL 注入漏洞。攻击者可以通过构造特定的 POST 请求注入恶意 SQL 代码，利用该漏洞对数据库执行任意 SQL 操作，获取所有用户的账户密码信息。

  • 0
  • 1
  • dddtest
  • 发布于 2024-08-13 11:48:20
  • 阅读 ( 3181 )

记一次对通天星CMSV6车载视频监控平台的漏洞分析

通天星CMSV6（官网地址：http://www.g-sky.cn/）拥有以位置服务、无线3G/4G视频传输、云存储服务为核心的研发团队，专注于为定位、无线视频终端产品提供平台服务，通天星CMSV6产品覆盖车载录像机、单兵录像机、网络监控摄像机、行驶记录仪等产品的视频综合平台。根据微步在线研究响应中心捕捉到漏洞情报，来对通天星CMSV6车载视频监控平台的漏洞进行分析审计

  • 0
  • 4
  • bmjoker
  • 发布于 2024-07-31 10:38:18
  • 阅读 ( 2857 )

Nacos <=2.4.0.1 任意文件读写删

在Nacos<=2.4.0.1版本中集群模式启动下存在名为naming_persistent_service的Group，该Group所使用的Processor为com.alibaba.nacos.naming.consistency.persistent.impl.PersistentServiceProcessor类型Processor，在进行处理过程中会触发其父类`onApply`或`onRequest`方法,这两个方法会分别造成任意文件写入删除和任意文件读取

  • 0
  • 2
  • Stree
  • 发布于 2024-08-28 10:19:06
  • 阅读 ( 2839 )

某通电子文档安全管理系统SQL注入漏洞 代码分析

某通电子文档安全管理系统SQL注入漏洞 代码分析

  • 0
  • 3
  • xhys
  • 发布于 2024-08-21 09:50:05
  • 阅读 ( 2743 )

某通文档xxx系统sql注入分析

某通文档xxx系统sql注入分析

  • 3
  • 8
  • lei_sec
  • 发布于 2024-08-09 14:44:43
  • 阅读 ( 2591 )

某安防管理平台任意文件上传漏洞复现分析

由于代码缺陷未对文件进行合法有效的效验，导致其攻击者可以利用此漏洞上传任意文件，包括但不限于webshell，获取主机交互式shell ## 漏洞细节 废话不多说直接action开整，漏...

  • 2
  • 3
  • zhizhuo
  • 发布于 2024-08-02 09:36:17
  • 阅读 ( 2566 )

CVE-2024-43044 Jenkins Remoting远程代码执行漏洞分析

Jenkins是一个开源软件项目，是基于java开发的一种持续集成工具，用于监控持续重复的工作。而在此过程中，Agent执行机就是其中关键的一部分，负责执行构建和部署任务。简单来说Agent 就是一个独立的进程或者节点，可以是独立的服务器、虚拟机或者是本地机器，用来执行构建和部署任务，当Jenkins主服务器连接到Agent的时候，就可以在该节点上运行相应的任务

  • 0
  • 0
  • kakakakaxi
  • 发布于 2024-08-29 15:00:02
  • 阅读 ( 2554 )

海康综合安防 installation远程命令执行

某远OA后台RCE constDef.do命令执行漏洞分析

某远OA constDef.do命令执行漏洞分析学习。

  • 0
  • 0
  • fany
  • 发布于 2024-07-30 10:04:15
  • 阅读 ( 2469 )

蓝凌OA WechatLoginHelper.do SQL注入漏洞复现分析

蓝凌OA的wechatLoginHelper.do接口处存在SQL注入漏洞，攻击者可以利用 SQL 注入漏洞获取数据库中的信息（管理员后台密码、站点的用户个人信息）之外，甚至在高权限的情况可向服务器中写入木马，进一步获取服务器系统权限。

  • 0
  • 2
  • F82
  • 发布于 2024-08-09 09:56:49
  • 阅读 ( 2442 )

Nacos 0day（derby+源码）分析 + 不出网利用

从derby的sql语句和调用过程，以及nacos的java源码层面分析，外加不出网利用方式

CVE-2024-36412 SuiteCRM未授权sql注入分析

SuiteCRM是一个开源的客户关系管理(CRM)软件应用程序。在版本7.14.4和8.6.1之前存在未授权SQL注入漏洞，本文对CVE-2024-36412这个漏洞进行复现和分析，以及注入点的特殊性做了解释。

  • 1
  • 2
  • xpjoker
  • 发布于 2024-08-08 09:40:45
  • 阅读 ( 2280 )

海康威视综合安防管理平台clusters页面文件上传漏洞

海康威视综合安防管理平台clusters页面文件上传漏洞

  • 0
  • 0
  • 买橘子
  • 发布于 2024-08-12 09:55:52
  • 阅读 ( 2151 )

Spring Cloud Data Flow 漏洞分析（CVE-2024-22263|CVE-2024-37084）

Spring Cloud Data Flow（SCDF）是一个基于微服务的工具包，用于在 Cloud Foundry 和 Kubernetes 中构建流式和批量数据处理管道。SCDF中一个核心组件Spring Cloud Skipper负责处理应用程序的部署、升级和回滚等操作。该系统2.11.4版本以下存在任意文件写入漏洞（CVE-2024-22263）和代码执行漏洞（CVE-2024-37084）

  • 0
  • 0
  • kakakakaxi
  • 发布于 2024-08-15 09:46:19
  • 阅读 ( 2115 )

某通新一代电子文档安全管理系统 远程代码执行漏洞(XVE-2024-8758)

某通新一代电子文档安全管理系统 远程代码执行漏洞

  • 0
  • 1
  • xhys
  • 发布于 2024-08-29 10:00:02
  • 阅读 ( 2041 )

Zabbix zbx_auditlog_global_script SQL注入漏洞(CVE-2024-22120)漏洞分析

Zabbix是一个开源的监控解决方案，用于监控网络和应用程序的性能和健康状况。它能够监控IT基础设施，包括服务器、虚拟机、网络设备、Web应用程序等。 Zabbix 服务器可以对配置的脚本执行命令。执行命令后，审计条目将添加到“审计日志”中。由于“clientip”字段未经过清理，因此可以将 SQL 注入“clientip”并利用基于时间的盲 SQL 注入。此漏洞可能导致权限从用户提升到管理员。在某些情况下，SQL 注入会导致 RCE。

积木报表AviatorScript代码注入RCE分析

积木报表软件存在AviatorScript代码注入RCE漏洞。使用接口/jmreport/save处在text中写入AviatorScript表达式。访问/jmreport/show触发AviatorScript解析从而导致命令执行。

  • 1
  • 1
  • Yu9
  • 发布于 2024-08-14 09:36:07
  • 阅读 ( 2006 )

H3C-iMC智能管理中心autoDeploy.xhtml页面代码执行漏洞分析

H3C-iMC智能管理中心存在远程代码执行漏洞，攻击者利用该漏洞可以在服务器执行远程命令。

万户graph include.jsp sql注入的漏洞分析

万户graph include.jsp sql注入的漏洞分析

  • 0
  • 1
  • xhys
  • 发布于 2024-08-22 09:38:48
  • 阅读 ( 1970 )