漏洞
未读
OttoKit WordPress 插件管理员创建漏洞 CVE-2025-3102
一、漏洞核心信息与威胁等级 2025 年 4 月，WordPress 自动化插件 OttoKit（原 SureTriggers）被披露存在高严重性安全漏洞（CVE-2025-3102，CVSS v3.1 评分 8.1）。该漏洞为授权绕过漏洞，允许未经身份验证的攻击者在特定条件下创建管理员账户，进而完
网络安全
未读
GLPI 中的预身份验证 SQL 注入到 RCE（CVE-2025-24799/CVE-2025-24801）
预认证 SQL 注入 过去曾有报告称 GLPI 存在多起 SQL 注入漏洞。大多数漏洞被认为是后认证漏洞，需要账户才能触发 (1) (3) (4)。预认证漏洞则较为罕见 (2) (5)，我们在外部侦察阶段发现的实例中已修复该漏洞。 GLPI 的 Inventory 原生功能（通常启用）中发现了新的
网络安全
未读
全球科技巨头隐秘监视数十亿Android用户，滥用系统漏洞跨端追踪长达八年
近日，一项由西班牙 IMDEA 软件研究所牵头的学术研究引发全球安全圈关注。研究指出，全球两大科技巨头——美国的 Meta 和俄罗斯的 Yandex，借助安卓平台的本地通信机制，绕过系统权限控制与用户隐私防护，悄然实现了网页与 App 之间的 ID 跨端绑定与行为数据融合采集。这一机制已持续多年，影
网络安全
未读
AI 帮我绕 WAF 之实战案例
AI 在代码阅读领域无人能及，我们要做的就是如何利用好 AI，借助它的能力来完成我们的工作，突发奇想，能否让 AI 帮我构造漏洞利用的 POC 呢？ 首先找一些存在 SQL 注入漏洞的接口，利用 sqlmap 直接能跑出来的，直接放弃，毕竟这么低级的漏洞利用无需 AI 即可直接完成，所以要从中找出无
网络安全
未读
GoExec 一款Windows横向渗透工具
GoExec 是对一些用于在 Windows 设备上进行远程执行的方法的全新演绎。GoExec 实现了许多尚未实现的执行方法，并总体上显著提升了 OPSEC 性能。 介绍 在 Windows 设备上生成远程进程已成为 Active Directory 网络及其他网络横向移动的常见做法。了解实现远程执
漏洞
未读
CVE-2025-33073 ： 反射式 Kerberos 中继攻击
漏洞补丁日值得关注的漏洞。详细报告已上传至 github. https://github.com/mayfly42/ThreatReport/blob/main/2025-06-11-Reflective-Kerberos-Relay-Attack_RedTeam-Pentesting.pdf 微软
网络安全
未读
SVG 网络钓鱼激增：图像文件如何被利用来窃取凭证
前言 在这个以图像为信息或娱乐媒介的世界里，一种新型的网络钓鱼攻击正利用图像进行欺骗和窃取。Trustwave SpiderLabs 最近的一份报告显示，使用 SVG（可缩放矢量图形）文件作为投递媒介的网络钓鱼攻击激增了 1,800%。这些轻量级、看似无害的图像文件正成为网络犯罪分子窃取凭证、投递恶
漏洞
未读
CVE-2024-51567 RCE漏洞
漏洞介绍 CyberPanel是一款基于OpenLiteSpeed的Web托管控制面板，专为现代Web托管需求设计。它不仅提供了丰富的功能，还确保了高性能和安全性。无论您是个人开发者、小型企业还是大型企业，CyberPanel都能满足您的托管需求。 CyberPanel 是基于 (Open) Lit
网络安全
未读
fine 网络空间资产测绘 ICP备案 小程序反编译工具
免责声明 1、本工具是在 “按现状” 和 “可用” 的基础上提供的，不提供任何形式的明示或暗示的保证，包括但不限于对适销性、特定用途适用性、准确性、完整性、无侵权以及非侵权性的保证。 2、在任何情况下，工具的开发者、贡献者或相关组织均不对因使用本工具而产生的任何直接、间接、偶然、特殊、典型或后果性的
漏洞
未读
CVE-2025-1974 Kubernetes RCE漏洞
Kubernetes 中发现了一个安全问题。在某些情况下，未经身份验证且能够访问 Pod 网络的攻击者可以在 ingress-nginx 控制器上下文中执行任意代码。这可能导致控制器可访问的 Secret 信息泄露。（请注意，在默认安装中，控制器可以访问集群范围内的所有 Secret。） 此问题会影
漏洞
未读
CVE-2025-0868 RCE漏洞
前言 DocsGPT 中存在导致远程代码执行 （RCE） 的漏洞。由于使用 eval（） 对 JSON 数据进行解析不当，未经授权的攻击者可发送任意 Python 代码以通过 /api/remote 端点执行。 漏洞等级 高危 漏洞影响</
漏洞
未读
CVE-2025-4123
漏洞介绍 Grafana是Grafana开源的一套提供可视化监控界面的开源监控工具。该工具主要用于监控和分析Graphite、InfluxDB和Prometheus等。 Grafana存在安全漏洞，该漏洞源于客户端路径遍历和开放重定向结合，可能导致跨站脚本攻击。 注：该漏洞允许攻击者通过自定义前端插
网络安全
未读
AD域内网渗透-三种漏洞利用方式
PrintNightmare PrintNightmare包括两项漏洞CVE-2021-34527 和 CVE-2021-1675，这些漏洞存在于Windows操作系统上的打印后台处理程序（Print Spooler）服务中。目前基于该漏洞，已经有很多的利用代码，允许进行权限提升和远程代码执行。这个
网络安全
未读
CF-Hero 查找Cloudflare保护的网站真实IP
CF-Hero它是什么？ CF-Hero 是一款综合侦察工具，旨在发现受 Cloudflare 保护的 Web 应用程序的真实 IP 地址。它通过多种方法进行多源情报收集。 DNS 侦察 当前 DNS 记录（A，TXT） 历史DNS数据分析 关联域发现 情报来源 主动 DNS 枚举 Censys 搜
网络安全
未读
SharpThief 一键窃取签名程序的图标版本数字签名信息
SharpThief简介 一键窃取签名程序的图标、资源信息，版本信息、修改时间、数字签名（无效），使程序正规化。对抗QVM 数字签名是无效的，但是可以起到模拟的作用 可以生成程序的图标存根 降低程序熵值 截图