立即发帖
筛选:  最新的 推荐的 热门的

UI for Apache Kafka 远程代码执行漏洞

UI for Apache Kafka 是 Provectus 开源的针对 Apache Kafka 的一款管理界面。kafka-ui 0.4.0版本至0.7.1版本存在安全漏洞，第一个漏洞可执行任意的 Groovy 脚本，第二个漏洞可通过滥用 Kafka UI 连接到恶意 JMX 服务器来利用，从而通过不安全的反序列化导致 RCE。UI for Apache Kafka 默认情况下没有开启认证授权。

  • 0
  • 0
  • Stree
  • 发布于 2024-07-25 09:45:49
  • 阅读 ( 1546 )

CVE-2024-36401 GeoServer远程代码执行

GeoServer调用的GeoTools库API，在解析特性类型的属性/属性名称时，以不安全的方式将它们传递给commons-jxpath库，当解析XPath表达式时可以执行任意代码。

  • 0
  • 0
  • Stree
  • 发布于 2024-07-24 09:35:46
  • 阅读 ( 1586 )

CVE-2024-36104Apache OFBiz 最新Grovvy代码执行漏洞

爆出了CVE-2024-36104这个漏洞，实际上CVE-2024-32113和新爆出的CVE-2024-36104应该都是基于webtools/control/ProgramExport这个接口所产生的漏洞，该接口用于后台执行groovy代码，攻击者可以通过恶意的groovy代码实现任意命令执行

  • 0
  • 0
  • kakakakaxi
  • 发布于 2024-07-23 10:20:17
  • 阅读 ( 1444 )

CVE-2024-31982 XWiki DatabaseSearch 远程代码执行漏洞分析

XWiki 最近发现存在远程代码执行漏洞，该漏洞源于DatabaseSearch 接口代码设置不当缺陷，导致未经身份验证的远程攻击者可以执行任意Groovy代码或任意系统指令，从而获取服务器权限

  • 0
  • 0
  • Stree
  • 发布于 2024-07-22 10:12:27
  • 阅读 ( 1809 )

网传"nacos 0day"

这个"nacos 0day"在今天下午（2024.7.15）在各个公众号和群疯传，漏洞作者在GitHub上给出了POC 没接触过nacos,尝试分析

  • 1
  • 3
  • Stree
  • 发布于 2024-07-17 09:55:04
  • 阅读 ( 3427 )

Confluence OGNL表达式注入命令执行漏洞（CVE-2023-22527）

# Confluence OGNL表达式注入命令执行漏洞（CVE-2023-22527） Atlassian Confluence是企业广泛使用的wiki系统。 在Confluence 8.0到8.5.3版本之间，存在一处由于任意velocity模板被调用导...

Adobe ColdFusion 本地文件包含漏洞（CVE-2023-26360）

# Adobe ColdFusion 本地文件包含漏洞（CVE-2023-26360） Adobe ColdFusion是美国Adobe公司的一款动态Web服务器产品，其运行的CFML（ColdFusion Markup Language）是针对Web应用的一种程序设...

Confluence OGNL表达式注入命令执行漏洞（CVE-2022-26134）

# Confluence OGNL表达式注入命令执行漏洞（CVE-2022-26134） Atlassian Confluence是企业广泛使用的wiki系统。2022年6月2日Atlassian官方发布了一则安全更新，通告了一个严重且已在野利用的...

Confluence 属性覆盖导致权限绕过漏洞 (CVE-2023-22515)

# Confluence 属性覆盖导致权限绕过漏洞 (CVE-2023-22515) Atlassian Confluence是企业广泛使用的wiki系统。 2023年10月4日，Atlassian官方发布了对于CVE-2023-22515漏洞的补丁。这个漏洞...

GeoServer OGC Filter SQL注入漏洞（CVE-2023-25157）

# GeoServer OGC Filter SQL注入漏洞（CVE-2023-25157） GeoServer 是 OpenGIS Web 服务器规范的 J2EE 实现，利用 GeoServer 可以方便的发布地图数据，允许用户对特征数据进行更新、删除、插...

ImageMagick任意文件读取漏洞（CVE-2022-44268）

# ImageMagick任意文件读取漏洞（CVE-2022-44268） ImageMagick是一款使用量很广的图片处理程序，很多厂商都调用了这个程序进行图片处理，包括图片的伸缩、切割、水印、格式转换等等。 在...

Jetbrains TeamCity 认证绕过导Seeyon程命令执行漏洞（CVE-2023-42793）

# Jetbrains TeamCity 认证绕过导Seeyon程命令执行漏洞（CVE-2023-42793） TeamCity 是 JetBrains 的构建管理和持续集成服务器。 在 TeamCity 2023.05.3 版本及以前，存在一处由于逻辑错...

Jumpserver随机数种子泄露导致账户劫持漏洞（CVE-2023-42820）

# Jumpserver随机数种子泄露导致账户劫持漏洞（CVE-2023-42820） Jumpserver是一个开源堡垒机系统。在其3.6.4及以下版本中，存在一处账户接管漏洞。攻击者通过第三方库[django-simple-captch...

librsvg XInclude 文件包含漏洞（CVE-2023-38633）

# librsvg XInclude 文件包含漏洞（CVE-2023-38633） librsvg是一个用于处理SVG图片的开源依赖库。 librsvg支持XML中的XInclude规范，可以用于加载外部内容。在librsvg 2.56.3版本以前，...

YApi NoSQL注入导Seeyon程命令执行漏洞

# YApi NoSQL注入导Seeyon程命令执行漏洞 YApi是一个API管理工具。在其1.12.0版本之前，存在一处NoSQL注入漏洞，通过该漏洞攻击者可以窃取项目Token，并利用这个Token执行任意Mock脚本，获取...

JeecgBoot JimuReport 模板注入导致命令执行漏洞（CVE-2023-4450）

# JeecgBoot JimuReport 模板注入导致命令执行漏洞（CVE-2023-4450） JeecgBoot 是一个开源的低代码开发平台，Jimureport 是低代码报表组件之一。 当前漏洞在 1.6.1 以下的 Jimureport 组...

霆智科技 VA虚拟应用平台 任意文件读取漏洞

# 霆智科技 VA虚拟应用平台 任意文件读取漏洞 ## 漏洞描述 霆智科技 VA虚拟应用平台 存在任意文件读取漏洞，攻击者通过漏洞可以获取服务器中敏感信息 ## 漏洞影响 霆智科技 VA虚拟...

极通EWEBS casmain.xgi 任意文件读取漏洞

# 极通EWEBS casmain.xgi 任意文件读取漏洞 ## 漏洞描述 极通EWEBS casmain.xgi 任意文件读取漏洞，攻击者通过漏洞可以读取任意文件 ## 漏洞影响 极通EWEBS ## 网络测绘 app=...

魅课 OM视频会议系统 proxy.php 文件包含漏洞

# 魅课 OM视频会议系统 proxy.php 文件包含漏洞 ## 漏洞描述 魅课OM视频会议系统 proxy.php文件target参数存在本地文件包含漏洞。攻击者可借助该漏洞无需登录便可下载任意文件。 ## 漏...

WiseGiga NAS down_data.php 任意文件下载漏洞

# WiseGiga NAS down_data.php 任意文件下载漏洞 ## 漏洞描述 WISEGIGA NAS down_data.php 存在任意文件下载漏洞，由于 /down_data.php 页面 filename 参数过滤不严，导致可以读取系统敏...