- 综合排序
- 最热优先
- 最新优先
- 来自专栏API安全
6月API安全漏洞报告
为了让大家的API更加安全，致力于守护数字世界每一次网络调用，小阑给大家整理了6月份的一些API安全漏洞报告，希望大家查漏补缺及时修复自己API可能出现的漏洞。 • 更新升级：定期升级MinIO到最新版本，以获得修复漏洞和安全强化的补丁。 然而，Joomla Rest API 未授权访问漏洞是指在Joomla系统中出现的安全漏洞，使得攻击者可以通过未授权的方式访问和利用Rest API接口。 • 安全审计：定期对Joomla系统和其相关组件进行安全审计，检查是否存在其他安全漏洞，并及时修复。 小阑建议• 这些漏洞再次强调了API安全性的重要性，也显示出公司必须高度关注保护其API。随着API在现代应用程序中的广泛使用，攻击者越来越频繁地利用API漏洞来入侵系统。
1.8K10编辑于 2023-06-30 - 来自专栏绿盟科技安全情报
【漏洞通告】微软6月安全更新多个产品高危漏洞通告
通告编号:NS-2020-0037 2020-06-10 TAG： 安全更新、Windows、IE、Office、Edge、Adobe Flash 漏洞危害： 攻击者利用本次安全更新中的漏洞，可造成信息泄露 版本： 1.0 1 漏洞概述 北京时间6月10日，微软发布6月安全更新补丁，修复了130个安全问题，涉及Microsoft Windows、Internet Explorer、Microsoft Edge 此安全更新修复了 Adobe 安全公告 APSB20-30 中描述的漏洞（CVE-2020-9633），此漏洞影响Windows、MacOS、Linux和ChromeOS，成功利用该漏洞可在当前用户的环境中执行任意代码 声明 本安全公告仅用来描述可能存在的安全问题，绿盟科技不为此安全公告提供任何保证或承诺。 绿盟科技拥有对此安全公告的修改和解释权。如欲转载或传播此安全公告，必须保证此安全公告的完整性，包括版权声明等全部内容。
1.5K20发布于 2020-06-15 - 来自专栏FreeBuf
不被PayPal待见的6个安全漏洞
最近，Cybernews分析人员称，他们发现了和PayPal相关的6个高危漏洞，攻击者利用这些漏洞可以实现：绕过PayPal登录后的双因素认证（2FA）、使用其内部智能聊天系统发送恶意代码。 然而就在上报了这些漏洞后，Cybernews遇到了无休止拖延、无人回应、含糊响应和不被重视的情形。以下是Cybernews就发现的6个漏洞进行的说明，抛开是非对错，我们只来围观其技术姿势就好。 PayPal对该漏洞的回应是，这不是一个外部可利用的漏洞，所以不算安全问题，最后漏洞分类为“不适用”（Not Applicable）。 漏洞6：安全问题输入中存在持久型XSS 该漏洞与漏洞5类似，原因在于PayPal未对安全问题的用户输入答案实施过滤，导致存在XSS，我们可以使用MITM代理对其抓包构造，实现XSS触发。 PayPal对该漏洞的回应称已有其他安全人员提交过该漏洞，而就在同一天，PayPal对该漏洞进行了修复。
4.3K30发布于 2020-03-24 - 来自专栏云鼎实验室的专栏
2025年6月企业必修安全漏洞清单
腾讯云安全参考“安全漏洞的危害及影响力、漏洞技术细节披露情况、该漏洞在安全技术社区的讨论热度”等因素，综合评估该漏洞在攻防实战场景的风险。 当漏洞综合评估为风险严重、影响面较广、技术细节已披露，且被安全社区高度关注时，就将该漏洞列入必修安全漏洞候选清单。 腾讯云安全定期发布安全漏洞必修清单，以此指引企业安全运维人员修复漏洞，从而避免重大损失。 以下是2025年6月份必修安全漏洞清单： 一、Apache Kafka Client任意文件读取漏洞（CVE-2025-27817） 二、Gogs 远程代码执行漏洞（CVE-2024-56731） 三、 *以上漏洞评分为腾讯云安全研究人员根据漏洞情况作出，仅供参考，具体漏洞细节请以原厂商或相关漏洞平台公示为准。
37310编辑于 2026-04-09 - 来自专栏红日安全
Web安全Day6 – 业务逻辑漏洞实战攻防
本文由红日安全成员： Orion 编写，如有不当，还望斧正。 大家好，我们是红日安全-Web安全攻防小组。 此项目是关于Web安全的系列文章分享，还包含一个HTB靶场供大家练习，我们给这个项目起了一个名字叫 Web安全实战 ，希望对想要学习Web安全的朋友们有所帮助。 业务逻辑实战攻防 1.1 逻辑漏洞概述 逻辑漏洞，之所以称为逻辑漏洞，是由于代码逻辑是通过人的逻辑去判断，每个人都有自己的思维，自己的思维容易产生不同想法，导致编写完程序后随着人的思维逻辑产生的不足，大多数逻辑漏洞无法通过防火墙 ，waf等设备进行有效的安全防护，在我们所测试过的平台中基本都有发现，包括任意查询用户信息、任意删除等行为；最严重的漏洞出现在账号安全，包括验证码暴力破解、任意用户密码重置、交易支付、越权访问等等。 1.2 常见的逻辑漏洞 交易支付、密码修改、密码找回、越权修改、越权查询、突破限制等各类逻辑漏洞。
1.5K20发布于 2020-02-21 - 来自专栏嘉为动态
紧急安全公告—BadTunnel漏洞修复—2016年6月20日
6月14日,微软安全公告上发布了高危漏洞BadTunnel：CVE-2016-3213。 WPAD 的NetBIOS 名称请求来利用此漏洞，成功利用此漏洞的攻击者可以规避安全检查，并能在目标系统上获得特权提升。 BadTunnel漏洞详细信息如下： 标题 BadTunnel漏洞修复 简述 BadTunnel漏洞主要是由一系列各自单独设计的协议和特性协同工作导致的。 BadTunnel 漏洞说明 关于BadTunnel漏洞，可查看CVE官网发布的漏洞信息和微软官网发布的安全公告：http://www.cve.mitre.org/cgi-bin/cvename.cgi ，可查看CVE官网发布的漏洞信息和微软官网发布的安全公告： http://www.cve.mitre.org/cgi-bin/cvename.cgi?
2.1K40发布于 2018-12-21 - 来自专栏全栈程序员必看
thinkphp5.0漏洞_thinkphp6漏洞
0x01 漏洞分析和利用场景 该漏洞形成最关键的一点是需要开启debug模式，而Tp官方最新的版本5.0.9默认依旧是开放着调试模式 下载最新版本的5.0.9完整版 本地按照官方给的文档安装成功后， 最终找到了最核心的方法buildWhere 和 parseWhereItem 这段代码当引入了in 或者 not in的时候遍历value的key和value 而key在绑定编译指令的时候又没有安全处理 0x03网络实战 笔者对某个站安全测试 ，为了防止查水表，具体域名隐藏 第一步需要注册一个用户，前台是免费注册的 注册登录成功后，直接GET请求 http://xxx.com/home/messages ids[0’\]=1 笔者尝试着连接对方的数据库，可惜的是运气不好 0x04漏洞总结 Tp5.0框架采用PDO机制已经很安全了，只要不出现拼接字符的现象，至少在绑定参数查询的时候不会产生注入漏洞；也由此可见 tp底层对于传入数组的key值没有做安全过滤，导致在预编译绑定参数 处理的时候依旧存在注入字符，结果是框架本身在默认开启调试模式的时候报错给出重要的敏感数据。
2.3K30编辑于 2022-10-02 - 来自专栏全栈程序员必看
web安全常见漏洞_web漏洞挖掘
常见Web安全漏洞 1、越权漏洞 不同权限账户之间的存在越权访问 检测 抓去a用户功能链接，然后登录b用户对此链接进行访问 抓去a用户功能链接，修改id为b的id，查看是否能看b的相关数据 替换不同的 检查网站有没有文件解析漏洞和文件包含漏洞。 将文件上传到单独的文件服务器，并且单独设置文件服务器的域名。 4用户下载文件之前需要进行权限判断 5 用户下载时需提交对应ID 6不允许提供目录遍历服务。 6、关键会话重放攻击 不断恶意或欺诈性地重复一个有效的数据包，重放攻击者可以拦截并重复发该数据到服务端，服务器端未对用户提交的数据包重放进行有效限制。 命令执行和代码执行–>传送门 13、SSRF 由攻击者构造请求，有服务端发起请求的安全漏洞，本质是信息泄露。
2.3K50编辑于 2022-11-06 - 来自专栏囍楽云博客
bash 安全漏洞-bash代码注入的安全漏洞
你看bash 安全漏洞，一个代码注入就这样完成了。这就是bash的bug——函数体外面的代码被默认地执行了。 就像这个安全漏洞的测试脚本一样： env VAR='() { :;}; echo Bash is vulnerable!' bash -c "echo 如果你看到了vulnerable字样说明你的bash有安全问题" OK，你应该明白这个漏洞是怎么一回事了吧。 bash漏洞的影响有多大 在网上看到好多人说这个漏洞不大，还说这个事只有那些陈旧的执行CGI脚本的网站才会有，现在已经没有网站用CGI了。我靠，这真是无知者无畏啊。 我们还知道，现在的HTTP服务器基本上都是以子进程式的bash 安全漏洞，所以，其中必然会存在export 一些环境变量的事，而有的环境变量的值是从用户端来的，比如：这样的环境变量，只由浏览器发出的。
1.6K20编辑于 2022-12-29 - 来自专栏安恒信息
安全漏洞公告
1 多个IBM产品SQL注入漏洞 多个IBM产品SQL注入漏洞发布时间：2014-05-28漏洞编号：BUGTRAQ ID: 67641 CVE(CAN) ID: CVE-2013-4016漏洞描述：IBM 多个IBM产品存在安全措施绕过漏洞，远程经过身份验证的攻击者可利用此漏洞绕过目标访问限制，读取通讯日志。 受影响产品如下：IBM Maximo Asset Management 7.x、SmartCloud Control Desk 7.x安全建议：目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载 ：目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：http://www.ibm.com/support/fixcentral/ 5 Apache 'mod_wsgi' 模块本地权限提升漏洞 安全建议：目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：http://modwsgi.readthedocs.org/en/latest/release-notes/version-
1.9K60发布于 2018-04-10 - 来自专栏安恒信息
安全漏洞公告
1 McAfee Email Gateway存在未明任意命令执行漏洞 2 Zend Framework代理请求处理IP地址伪造漏洞 3Cisco ASA CX安全搜索策略绕过漏洞 4 Zabbix任意命令执行漏洞 5Apache Struts config-browser/actionNames.action namespace参数反射型跨站脚本漏洞
973100发布于 2018-04-10 - 来自专栏技术博文
日常漏洞安全更新
日常漏洞安全更新 系统：CentOs7.4 1 中危NSS 安全漏洞 RHSA-2021:4904: nss 安全更新 漏洞编号 影响分 漏洞公告（公告内会包含同一软件多个漏洞 CVE） CVE-2021 -43527 4.8 NSS 安全漏洞 #1 查看可更新的软件nss yum list updates |grep nss #2 如果有可更新软件，则进行更新 yum -y update nss.x86 _64 2 RHSA-2021:4788: krb5 安全更新 漏洞编号 影响分 漏洞公告（公告内会包含同一软件多个漏洞 CVE） CVE-2021-37750 3.2 MIT Kerberos 代码问题漏洞 list updates |grep krb5 #2 如果有可更新软件，则进行更新 yum -y update krb5-libs.x86_64 3 RHSA-2021:4782: openssh 安全更新 如果有可更新软件，则进行更新 yum -y update java-1.8.0-openjdk.x86_64 5 RHSA-2021:4785: rpm 安全更新 漏洞编号 影响分 漏洞公告（公告内会包含同一软件多个漏洞
96210编辑于 2021-12-30 - 来自专栏世荣的博客
搭建漏洞环境-实战-6
搭建XSS测试平台 XSS测试平台是测试XSS漏洞获取cookie并接受Web页面的平台，XSS可以做JS能做的所有事情，包括但不限于窃取cookie，后台增删改文章，利用XSS漏洞进行传播，修改网页代码
60430编辑于 2022-03-18 - 来自专栏安恒信息
安全漏洞公告
安全建议：目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载： http://httpd.apache.org/ Apache Solr 'SolrResourceLoader'目录遍历漏洞发布时间 安全建议：用户可联系供应商获得补丁信息： http://www.apache.org/ Apache Subversion mod_dontdothat路径匹配安全绕过漏洞发布时间：2013-11 Apache Subversion存在安全绕过漏洞。由于应用程序对配置的路径否认匹配时，未能正确地检查所提供的路径，攻击者可以利用漏洞来绕过预期的限制，例如：由于占用系统资源过多。 安全建议：用户可参考如下供应商提供的安全公告获得补丁信息： http://subversion.apache.org/security/CVE-2013-4505-advisory.txt JBoss 安全建议：用户可参考如下厂商提供的安全公告获得补丁信息： https://rhn.redhat.com/errata/RHSA-2013-1762.html HP 2620交换机'html/json.html
1.9K60发布于 2018-04-10 - 来自专栏安恒信息
安全漏洞公告
PHP 5.4.28之前版本在php-fpm.conf.in的实现上存在安全漏洞，本地攻击者可利用此漏洞获取提升的权限并执行任意代码。 ClassLoader篡改安全措施绕过漏洞 Apache Struts ClassLoader篡改安全措施绕过漏洞发布时间：2014-04-30漏洞号：BUGTRAQ ID: 67121 CVE(CAN 攻击者可利用此漏洞绕过某些安全限制并执行未授权操作。 'getClass()'方法安全限制绕过漏洞 Apache Struts 'getClass()'方法安全限制绕过漏洞发布时间：2014-04-29漏洞号：BUGTRAQ ID: 67081 CVE 另外 CookieInterceptor配置为接受所有cookie后也存在此类安全漏洞。成功利用后可使攻击者绕过某些安全限制并执行未授权操作。
2.5K50发布于 2018-04-10 - 来自专栏安恒信息
安全漏洞公告
Disclosure (2966061) 链接：http://technet.microsoft.com/security/bulletin/MS14-033 2 Microsoft Windows远程桌面协议安全限制绕过漏洞 Microsoft Windows远程桌面协议安全限制绕过漏洞发布时间：2014-06-11漏洞编号：BUGTRAQ ID: 67865 CVE ID: CVE-2014-0296漏洞描述：Windows PHP 5.5.13及更早版本的配置脚本中使用的acinclude.m4存在安全漏洞，可使本地用户对 /tmp/phpglibccheck文件执行符号链接攻击，从而覆盖任意文件。 p=php-src.git;a=commit;h=91bcadd85e20e50d3f8c2e9721327681640e6f16 https://bugzilla.redhat.com/show_bug.cgi id=1104978 6 OpenSSL SSL/TLS 中间人漏洞 OpenSSL SSL/TLS 中间人漏洞发布时间：2014-06-06漏洞编号：BUGTRAQ ID: 67899 CVE ID:
1.7K40发布于 2018-04-10 - 来自专栏安恒信息
安全漏洞公告
1 Apache Sling 'AbstractAuthenticationFormServlet'开放重定向漏洞 2 Apache Commons FileUpload ‘DiskFileItem’类空字节任意文件写入漏洞 3 Red Hat JBoss JBoss EAP 身份验证安全绕过漏洞 4 Red Hat JBoss EAP会话ID信息泄露漏洞 5 F5 BIG-IP Traffic Management Microkernel 远程拒绝服务漏洞 6 IBM Domino iNotes 跨站脚本漏洞 7 SAP Sybase ASE XML外部实体注入漏洞 8 Apache mod_fcgid fcgid_header_bucket_read 函数缓冲区溢出漏洞 9 Apache 'mod_accounting'模块SQL注入漏洞 =====================================
1.6K60发布于 2018-04-10 - 来自专栏安恒信息
安全漏洞公告
安全建议：目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：http://www.cacti.net/download_cacti.php 2 OpenX 'flowplayer-3.1.1 目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载： 3 Apache CloudStack多个跨站脚本漏洞 发布时间：2013-08-06 漏洞编号：BUGTRAQ ID: 61650 /html/Release_Notes/index.html 4 多个思科产品远程安全限制绕过漏洞 发布时间：2013-08-01 漏洞编号：BUGTRAQ ID: 61566 CVE(CAN) ID: 多个思科产品存在安全漏洞，该漏洞相关OSPF LSA数据库。此漏洞可使未经身份验证的攻击者完全控制OSPF AS域路由表、黑洞流量、中间流量等。 多个思科内容网络和视频传递产品漏洞在配置为中心管理模式中运行时，Web框架内存在安全漏洞。经过身份验证的远程攻击者虽然没有权限，但可以在受影响系统上、受影响系统管理的设备上执行任意代码。
1.8K30发布于 2018-04-09 - 来自专栏安恒信息
安全漏洞公告
Dell GoAhead Web Server在处理用户名长度大于16个字符的特制HTTP POST请求时，存在安全漏洞，未经身份验证的远程攻击者可利用此漏洞造成受影响交换机不响应。 product-software/xenmobile-86-mdm-edition.html http://support.citrix.com/article/CTX140044 4.Zabbix安全绕过漏洞 Zabbix安全绕过漏洞发布时间：2014-02-17漏洞号：BUGTRAQ ID: 65446 CVE ID: CVE-2014-1685漏洞描述：zabbix是一个基于WEB界面的提供分布式系统监视以及网络监视功能的企业级的开源解决方案 Microsoft XML Core Services处理特制WEB站点存在安全漏洞，允许攻击者利用漏洞访问本地系统文件或读取需要验证的WEB域内容。 安全建议：用户可参考如下厂商提供的安全公告获得补丁信息： http://technet.microsoft.com/en-us/security/bulletin/MS14-005
1.6K50发布于 2018-04-10 - 来自专栏安恒信息
安全漏洞公告
security-8.html [2] http://tomcat.apache.org/security-7.html [3] http://tomcat.apache.org/security-6. 安全限制绕过漏洞 Apache Tomcat 安全限制绕过漏洞发布时间：2014-02-26漏洞号：BUGTRAQ ID: 65773 CVE ID: CVE-2013-4286漏洞描述：Apache security-8.html [2] http://tomcat.apache.org/security-7.html [3] http://tomcat.apache.org/security-6. 安全建议：目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本： http://www.jboss.org/ 5 PostgreSQL远程栈缓冲区溢出漏洞 安全建议：目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载： http://www.postgresql.org
1.5K80发布于 2018-04-10
腾讯云开发者
Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有
深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 
粤公网安备44030502008569号
腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号