搜索中心

添加管理员微信号：quake_360，加入技术交流群～

CVE-2023-34192 —— Zimbra XSS To RCE

2020年5月22日，CNVD 通报了 Apache Kylin 存在命令注入漏洞CVE-2020-1956，我们来分析下。

漏洞空间站上线啦！！Zoho ManageEngine ADSelfService 6118 以前版本存在认证后目录穿越问题（CVE-2022-29457），可导致远程命令执行。

numpy 反序列化 CVE-2019-6446 浅析

调用关系查询MATCH (n:Class{NAME:'javax.servlet.http.HttpServ

poc作者为Piotr Krysiuk

漏洞概述2024年5月，Nexus Repository官方Sonatype发布了新补丁，修复了一处路径穿越

CVE-2015-3825是去年Android系统爆出的高危漏洞，与CVE-2014-7911一样都属于Android系统的反序列化漏洞。通过该漏洞可以实现Android系统提权及代码执行等一系列攻击行为，危害巨大

Parallels Desktop是macOS下的一个虚拟机软件，在其打包功能中存在一处安全性问题。本文通过利用 Parallels Desktop 对 macOS 安装程序的信任，进行本地权限提升。

CVE-2022-39197 Cobalt Strike < 4.7.1 RCE Analyze

SysAid On-Premise是一种 IT 服务管理（ITSM）和 IT 资产管理（ITAM）解决方案，专为企业提供全面的、集成的 IT 管理服务。经过分析发现，该软件存在任意文件上传漏洞，攻击者可以通过上传webshell获取目标系统权限。

weblogic 会在weblogic.servlet.internal.WebAppServletContext进行权限检查，主要是调用 WebAppSecurity#checkAccess 方法。 在 WebAppSecurity#checkAccess 方法当中会根据当前的URL进行资源判断。 我们可以看看 WebAppSecurityWLS#getConstraint 方法，这里会进入到 StandardURLMapping#getExactOrPathMatch 方法当中。 而实际上 this.matchMap 的内容与我们 web.xml 文件当中的，静态配置项是一致的，为了解决这个静态目录的问题，weblogic 还自动补齐了一个/。

CVE-2020-2555、CVE-2020-2883、CVE-2020-14645，WebLogic 同一个反序列化利用链的补丁绕过攻防战。

探索性分析1999-2020年CVE数据，得到几点推论。

CVE-2019-9535的一次不完整复现

致力于打造一款好用的CVE威胁情报服务。

CVE-2023-0386 exp

outlook CVE-2023-23397 域内零点击提权

5月14日，XStream官方发布安全更新，修复了一个严重漏洞CVE-2021-29505，通过该漏洞，攻击者构造特定的XML，绕过XStream的黑名单，最终触发反序列化造成任意代码执行。

产品

斗象VIP漏洞情报生产运营平台

斗象科技

241

0

斗象科技的VIP漏洞情报生产运营平台，提供全天候多源情报监测，快速识别资产风险，动态评估漏洞危害，支持自动关联脆弱资产，提供精准修复方案。平台具备漏洞预警、优先级评估、风险定位、PoC/EXP验证等技术优势，助力企业提升漏洞修复效率，强化全链路防护。

产品

奇安信数据库防火墙

奇安信

270

0

奇安信数据库审计与防护系统是一款高效的数据库安全防护产品，通过实时监控和分析网络数据包，采用身份鉴别和行为分析技术，有效识别 并阻断异常访问和SQL攻击，保障核心数据安全。产品具备双机热备、软/硬件Bypass、多因子认证等高级功能，支持广泛的数据库类型，实现细粒度访 问控制和全面策略体系，确保高可靠性和易用性。

产品

ZoomEye

知道创宇

238

0

ZoomEye Pro集合全面资产发现梳理、精准详细信息提供、重要漏洞影响评估、日常安全管理及数据输出等功能为一体的综合的网络空间资产安全管理系统

产品

STORK 软件成分分析平台

蜚语科技

310

0

于传统软件成分分析技术之上叠加了前沿的静态分析技术，帮助用户准确的梳理软件成分， 更加精确的发现三方漏洞与License风险。

产品

RayVAS 远程安全评估系统

远江盛邦

202

0

远程安全评估系统（RayVAS）是盛邦安全基于多年对系统安全漏洞的研究形成的一款全方位远程安全评估系统。

厂商

安华金和

267

0

安华金和提供专业的数据安全解决方案、咨询服务和切实可落地的安全技术和产品应用，产品涉及数据库审计、数据库防火墙、数据脱敏与漏洞防护、数据库加密、数据安全运营等

产品

CDK

270

0

使 K8s、Docker 和 Containerd 的安全测试更容易。

产品

FOBrain网络资产攻击面管理平台

华顺信安

328

0

华顺信安的FOBrain网络资产攻击面管理平台，采用攻击者视角，全面掌握企业网络资产动态，洞察风险，实现从被动防御到主动防御的转变。平台整合多源资产数据，优化漏洞管理，提升处置效率，构建实战化攻击面管理。

产品

maltrail

427

0

Maltrail一款功能强大且完全免费的开源恶意流量监测工具，它通过整合公开黑名单、反病毒软件报告及用户自定义特征，高效识别恶意流量。

预览

预览

预览

预览

产品

Viper 炫彩蛇

383

0

互联网攻击面管理&红队模拟平台

预览

预览

预览

预览

产品

trivy

309

0

云原生安全扫描工具，发现仓库、K8S、容器内的漏洞、配置缺陷、敏感信息等安全隐患。

产品

nuclei

660

0

基于简单 YAML DSL 的快速且可定制的漏洞扫描程序。

预览

预览