立即发帖
筛选:  最新的 推荐的 热门的

用友NC UserAuthenticationServlet反序列化漏洞分析

## 一、漏洞简介 用友NC系统`UserAuthenticationServlet`方法存在反序列化漏洞，攻击者可执行任意命令，获取敏感信息。 ## 二、影响版本 用友NC6.5 ## 三、漏洞原理分析 漏洞位...

  • 0
  • 0
  • chobits
  • 发布于 2025-07-08 09:39:45
  • 阅读 ( 973 )

用友NC FormItemServlet方法SQL注入漏洞分析

用友NC系统FormItemServlet方法存在SQL注入漏洞，攻击者可获取数据库敏感信息

  • 1
  • 0
  • chobits
  • 发布于 2025-06-26 09:00:00
  • 阅读 ( 2059 )

用友NC UserQueryServiceServlet反序列化漏洞分析

用友NC系统UserQueryServiceServlet方法存在反序列化漏洞，攻击者可执行任意命令，获取敏感信息

  • 0
  • 0
  • chobits
  • 发布于 2025-06-25 09:00:01
  • 阅读 ( 1644 )

Geoserver未授权XXE(CVE-2025-30220)漏洞代码分析

Geoserver未授权XXE(CVE-2025-30220)漏洞代码分析及复现

  • 0
  • 0
  • follycat
  • 发布于 2025-06-24 09:00:01
  • 阅读 ( 2683 )

CVE-2025-45529 sscms存在任意文件读取漏洞分析

SSCMS 内容管理系统是基于微软 .NET Core 平台开发，本文将对其CVE-2025-45529分析

  • 1
  • 0
  • kode
  • 发布于 2025-06-05 15:00:01
  • 阅读 ( 3155 )

CVE-2025-46731|CraftCMS Twig SSTI 代码执行漏洞分析与复现

Craft 是一个内容管理系统。低于 4.14.13 的 4.x 分支和低于 5.6.16 的 5.x 分支上的 Craft CMS 版本包含通过 Twig SSTI 的潜在远程代码执行漏洞。必须具有管理员访问权限，并且必须启用用“ALLOW_ADMIN_CHANGES”才能正常工作。

  • 0
  • 0
  • reset
  • 发布于 2025-05-28 09:00:02
  • 阅读 ( 3194 )

CVE-2025-22223 Spring Security EnableMethodSecurity 注解授权绕过分析

使用Spring Security 通过注解的方式来进行用户授权访问控制时，若使用了泛型方法可能导致授权配置失效。本文通过代码审计的方式详细介绍了该漏洞的漏洞成因以及修复方案。

  • 0
  • 0
  • facl0n_leo
  • 发布于 2025-05-14 15:00:00
  • 阅读 ( 3802 )

CNVD-2024-24400 TOTOLINK路由器N200RE存在命令执行漏洞

# 一、漏洞简介 TOTOLINK路由器在其多个版本中存在一个安全漏洞，该漏洞源于其`cgi-web`目录中的文件未对用户输入进行适当的过滤。由于这个问题，攻击者可以通过精心构造恶意请求，利用未过滤...

  • 1
  • 0
  • zhecho
  • 发布于 2025-05-13 15:00:01
  • 阅读 ( 3718 )

用友U8Cloud FileTransportServlet方法GZIP解压数据流反序列化漏洞分析

U8cloud系统FileTransportServlet方法中存在对前端传入内容GZIP解压并反序列化解析，造成反序列化漏洞

  • 0
  • 0
  • chobits
  • 发布于 2025-05-09 16:00:00
  • 阅读 ( 3694 )

CVE-2025-3248 Langflow RCE漏洞分析复现

CVE-2025-3248是Langflow平台中一个严重程度为高危的远程代码执行（RCE）漏洞。Langflow作为一个开源的AI工作流构建平台，允许用户通过可视化界面创建和管理AI驱动的自动化流程。

  • 0
  • 0
  • 逍遥~
  • 发布于 2025-05-08 09:32:38
  • 阅读 ( 4257 )

CVE-2024-53141 Linux 内核 netfilter子系统中 ipset 组件越界访问漏洞分析与利用

CVE-2024-53141是Linux内核netfilter子系统中ipset组件的一个高危越界访问（OOB）漏洞，CVSS评分为7.8分。该漏洞源于bitmap_ip_uadt函数在处理IPSET_ATTR_CIDR参数时缺少关键的范围检查，攻击者可借此实现本地提权、内核崩溃及造成RCE

CVE-2025-22235：Spring Boot EndpointRequest.to() 错误导致认证绕过漏洞分析复现

Spring Boot是一个开放源代码Java框架，用于开发独立、产品等级的Spring应用程序，和节省开发人员工作量。 该漏洞涉及 Spring Boot 中 `EndpointRequest.to()` 方法在配置安全规则时可能生成错误的匹配器，导致未暴露的执行器端点路径（如 `/null/**`）的安全保护失效。

  • 0
  • 0
  • la0gke
  • 发布于 2025-04-30 09:01:47
  • 阅读 ( 4111 )

用友U8Cloud getReportIdsByTaskId方法-多处SQL注入漏洞分析

## 一、漏洞简介 U8cloud系统`getReportIdsByTaskId`方法存在SQL注入漏洞，未经权限校验调用该方法的服务就会存在SQL注入漏洞，攻击者未经授权可以访问数据库中的数据，从而盗取用户数据，造...

  • 0
  • 0
  • chobits
  • 发布于 2025-04-28 10:00:00
  • 阅读 ( 3318 )

CVE-2025-22228：Spring Security BCryptPasswordEncoder 不强制最大密码长度

Spring Security 是一个功能强大且高度可定制的身份验证和访问控制框架。它是保护基于 Spring 的应用程序的事实标准。 `BCryptPasswordEncoder.matches(CharSequence,String)``true`只要前 72 个字符相同，就会错误地返回大于 72 个字符的密码。

  • 0
  • 0
  • la0gke
  • 发布于 2025-04-27 15:05:00
  • 阅读 ( 3336 )

CVE-2024-56325: Apache Pinot Authentication bypass 漏洞分析

Apache Pinot 是一个实时分布式的 OLAP 数据存储和分析系统。使用它实现低延迟可伸缩的实时分析。Pinot 从离线数据源（包括 Hadoop 和各类文件）和在线数据源（如 Kafka）中攫取数据进行分析。 Apache Pinot 存在身份认证绕过漏洞。如果路径不包含 / 且包含 . 则不需要身份验证。

  • 1
  • 0
  • ph0ebus
  • 发布于 2025-04-03 10:00:00
  • 阅读 ( 4613 )

[热点]CVE-2025-30208 Vite开发服务器任意文件读取漏洞分析

Vite 是一款现代化的前端开发构建工具，它提供了快速的开发服务器和高效的构建能力，广泛应用于 Vue.js 项目的开发过程中。Vite 开发服务器在处理特定 URL 请求时，没有对请求的路径进行严格的安全检查和限制，导致攻击者可以绕过保护机制，非法访问项目根目录外的敏感文件

[热点]CVE-2025-29927 Next.js 中间件鉴权绕过漏洞分析

Next.js 是一个基于 React 的流行 Web 应用框架，提供服务器端渲染、静态网站生成和集成路由系统等功能。当使用中间件进行身份验证和授权时，Next.js 14.2.25 和 15.2.3 之前的版本存在授权绕过漏洞。

  • 0
  • 0
  • Stree
  • 发布于 2025-03-25 10:04:34
  • 阅读 ( 4840 )

金和OA C6系统-JHSoft两处任意文件读取漏洞分析

# 漏洞简介 金和OA C6协同管理平台是以“精确管理思想”为灵魂，围绕以“企业协同四层次理论”为模型，而构建的结构化的、灵活集成的、动态响应的、面向企业运营管理的智慧协同应用管理平台。 该O...

  • 0
  • 0
  • chobits
  • 发布于 2025-02-24 09:00:02
  • 阅读 ( 5449 )

某天OA-renameService-SQL注入漏洞分析

# 漏洞描述 某天OA系统是一个以技术领先著称的协同软件产品，具有极为突出的实用性、易用性和高性价比，实施简便，使用灵便。该系统renameService接口中的传参可以导致HQL语句闭合造成SQL注入...

  • 1
  • 0
  • chobits
  • 发布于 2025-02-21 10:00:02
  • 阅读 ( 5365 )

CVE-2024-39503 Linux内核netfilter子系统中竞态条件漏洞分析与利用

CVE-2024-39503是Linux内核ip_set子系统中的一个竞态条件漏洞。该漏洞存在于 net/netfilter/ipset/ip_set_list_set.c 模块，由于垃圾回收机制（GC）与网络命名空间清理操作之间的同步缺陷，导致用户态释放后使用（UAF）漏洞。攻击者可利用该漏洞在内核空间实现任意代码执行，最终获取root权限。