- 综合排序
- 最热优先
- 最新优先
- 来自专栏绿盟科技安全情报
【安全更新】微软2月安全更新多个产品高危漏洞通告
通告编号:NS-2021-0008 2021-02-10 TAG： 安全更新、Windows、Office、Exchange、Visual Studio、.NET Framework 漏洞危害： 攻击者利用本次安全更新中的漏洞 版本： 1.0 1 漏洞概述 北京时间2月10日，微软发布2月安全更新补丁，修复了56个安全问题，涉及Microsoft Windows、Microsoft Office、Microsoft Exchange Server、Visual Studio、Microsoft .NET Framework等广泛使用的产品，其中包括远程代码执行和权限提升等高危漏洞类型。 声明 本安全公告仅用来描述可能存在的安全问题，绿盟科技不为此安全公告提供任何保证或承诺。 绿盟科技拥有对此安全公告的修改和解释权。如欲转载或传播此安全公告，必须保证此安全公告的完整性，包括版权声明等全部内容。
1.3K10发布于 2021-03-03 - 来自专栏全栈程序员必看
web安全常见漏洞_web漏洞挖掘
常见Web安全漏洞 1、越权漏洞 不同权限账户之间的存在越权访问 检测 抓去a用户功能链接，然后登录b用户对此链接进行访问 抓去a用户功能链接，修改id为b的id，查看是否能看b的相关数据 替换不同的 检测 对注入点进行测试， 单引号，双引号–>报错 And 1=1 and 1=2 ‘or ‘1’ = ‘1 ‘or ‘1’ = ‘2 两次web服务器响应不同 时间延时 sleep(5) 延迟响应 文件上传过滤和绕过–>传送门 4.1、任意文件读取/下载漏洞 检测： 通过web漏洞扫描工具对网站实施扫描可能发现任意文件读取/下载漏洞，发送一系列”…/”字符来遍历高层目录，并且尝试找到系统的配置文件或者系统中存在的敏感文件 2更新其中间件的版本，可能是因为中间件的版本过低。 3 web应用程序可以使用chroot环境包含被访问的web目录，或者使用绝对路径+参数来访问文件目录，使其即使越权也在访问目录之内。 命令执行和代码执行–>传送门 13、SSRF 由攻击者构造请求，有服务端发起请求的安全漏洞，本质是信息泄露。
2.1K50编辑于 2022-11-06 - 来自专栏CODING DevOps
Apache Log4j 2 报高危漏洞，CODING 联手腾讯安全护卫软件安全
腾讯安全第一时间将该漏洞收录至腾讯安全漏洞特征库中，CODING 制品扫描基于该漏洞特征库，对引用了受影响版本的 Log4j 2 制品进行了精准定位，并给出修复建议，同时可禁止下载含有该安全漏洞的制品， 漏洞详情： 漏洞名称 Apache Log4j 2 任意代码执行漏洞 威胁等级 高危 漏洞详情 已公开 POC 已知 EXP 已知 漏洞威胁 Apache Log4j 2 影响范围 Apache Log4j 2 2.0 - 2.14.1 漏洞编号 暂无 在野利用 已发现 安全版本 Log4j-2.15.0-rc2 Log4j 2 的使用极为广泛，可能受影响的应用及组件（包括但不限于）：Apache Solr 该漏洞的危险等级被腾讯安全定义为「危急」，同时该漏洞使用广泛，利用门槛低，被标记为「优先关注漏洞」，在漏洞详情中，我们建议用户尽快修复至「2.15.0-rc2」版本，将此依赖升级后，即可规避漏洞影响。 可信漏洞特征库 「腾讯安全开源组件漏洞特征库」是腾讯基于自身安全研究与国内外通用开源漏洞库信息搭建的漏洞特征库，由专业安全团队持续运营，为用户提供准确、及时、易懂的安全信息。
1.7K30编辑于 2021-12-10 - 来自专栏绿盟科技安全情报
【安全更新】微软11月安全更新多个产品高危漏洞
通告编号:NS-2020-0065 2020-11-11 TAG： 安全更新、Windows、Office、Exchange Server、Defender 漏洞危害： 攻击者利用本次安全更新中的漏洞 版本： 1.0 1 漏洞概述 北京时间11月11日，微软发布11月安全更新补丁，修复了112个安全问题，涉及Microsoft Windows、Microsoft Office、Microsoft Exchange Server、Visual Studio、Windows Defender等广泛使用的产品，其中包括远程代码执行和权限提升等高危漏洞类型。 CVE-2020-17053、CVE-2020-170585等高危漏洞），请相关用户关注绿盟远程安全评估系统系统插件升级包的更新，及时升级至V6.0R02F01.2007，官网链接：http://update.nsfocus.com for x64-based Systems 4漏洞防护 4.1 补丁更新 目前微软官方已针对受支持的产品版本发布了修复以上漏洞的安全补丁，强烈建议受影响用户尽快安装补丁进行防护，官方下载链接：
1.3K10发布于 2020-11-16 - 来自专栏希里安
Axios曝高危漏洞，私人信息还安全吗？
然而，近期在安全社区中，Axios被报告存在一个重要漏洞，该漏洞涉及其对跨站请求伪造（CSRF）保护机制的处理。 漏洞出现的情况可以是： 「服务器配置不当」：如果服务器没有正确设置或验证XSRF-TOKEN，那么即使在客户端设置了令牌，攻击者也可能绕过这种保护机制。 「客户端实现错误」：客户端代码，比如JavaScript或Web框架，可能没有正确地在每个请求中发送XSRF-TOKEN，或者在处理cookies时出现错误，导致令牌不被包含在请求中。 「安全策略缺失」：如果网站不使用XSRF-TOKEN或类似的防御机制，或者没有将其纳入全面的安全策略中，就可能容易受到CSRF攻击。 /csrf/preventing [2]https://github.com/axios/axios/issues/6006 [3]https://nvd.nist.gov/vuln/detail/CVE
4.3K20编辑于 2023-11-17 - 来自专栏绿盟科技安全情报
【漏洞通告】微软5月安全更新多个产品高危漏洞通告
通告编号:NS-2020-0032 2020-05-13 TAG：安全更新、Windows、IE、Office、Edge、Visual Studio漏洞危害：攻击者利用本次安全更新中的漏洞，可造成信息泄露 、.NET Framework、Microsoft Office、Visual Studio等广泛使用的产品，其中包括特权提升和远程代码执行等高危漏洞类型。 当用户访问一个特别设计的、由攻击者控制的web页面时，可能会触发此漏洞。 由于SharePoint Server无法正确识别和筛选不安全的 ASP.NET Web 控件，经过身份验证的攻击者通过上传一个特别制作的页面到SharePoint服务器，可成功利用CVE-2020-1069 声明 本安全公告仅用来描述可能存在的安全问题，绿盟科技不为此安全公告提供任何保证或承诺。
1.4K20发布于 2020-05-25 - 来自专栏绿盟科技安全情报
【漏洞通告】微软6月安全更新多个产品高危漏洞通告
通告编号:NS-2020-0037 2020-06-10 TAG： 安全更新、Windows、IE、Office、Edge、Adobe Flash 漏洞危害： 攻击者利用本次安全更新中的漏洞，可造成信息泄露 、Windows Defender、Microsoft Office、Visual Studio、Adobe Flash Player等广泛使用的产品，其中包括内存泄露和远程代码执行等高危漏洞类型。 由于SharePoint Server无法正确识别和筛选不安全的 ASP.NET Web 控件，经过身份验证的攻击者通过上传一个特别制作的页面到SharePoint服务器，可成功利用此漏洞在服务器上执行任意代码 此安全更新修复了 Adobe 安全公告 APSB20-30 中描述的漏洞（CVE-2020-9633），此漏洞影响Windows、MacOS、Linux和ChromeOS，成功利用该漏洞可在当前用户的环境中执行任意代码 声明 本安全公告仅用来描述可能存在的安全问题，绿盟科技不为此安全公告提供任何保证或承诺。
1.4K20发布于 2020-06-15 - 来自专栏绿盟科技安全情报
【漏洞通告】微软8月安全更新多个产品高危漏洞通告
通告编号:NS-2020-0046 2020-08-12 TAG： 安全更新、Windows、IE、Edge、SQL Server、.Net 漏洞危害： 攻击者利用本次安全更新中的漏洞，可造成信息泄露 版本： 1.0 1 漏洞概述 北京时间8月12日，微软发布8月安全更新补丁，修复了120个安全问题，涉及Microsoft Windows、Internet Explorer、Microsoft SQL Server、Microsoft Edge、ChakraCore、.Net 框架等广泛使用的产品，其中包括远程代码执行和权限提升等高危漏洞类型。 声明 本安全公告仅用来描述可能存在的安全问题，绿盟科技不为此安全公告提供任何保证或承诺。 绿盟科技拥有对此安全公告的修改和解释权。如欲转载或传播此安全公告，必须保证此安全公告的完整性，包括版权声明等全部内容。
85530发布于 2020-08-17 - 来自专栏绿盟科技安全情报
【漏洞通告】微软9月安全更新多个产品高危漏洞通告
通告编号:NS-2020-0050 2020-09-09 TAG： 安全更新、Windows、Office、IE、Exchange Server、Visual Studio 漏洞危害： 攻击者利用本次安全更新中的漏洞 版本： 1.0 1 漏洞概述 北京时间9月9日，微软发布9月安全更新补丁，修复了129个安全问题，涉及Microsoft Windows、Internet Explorer、Microsoft Office 、Microsoft Exchange Server、Visual Studio、ASP.NET等广泛使用的产品，其中包括远程代码执行和权限提升等高危漏洞类型。 Microsoft SharePoint Server 无法正确识别和筛选不安全的 ASP.NET Web 控件时，存在远程代码执行漏洞（CVE-2020-1460）。 Microsoft SharePoint某些API在处理不安全的数据输入时，存在远程代码执行漏洞（CVE-2020-1595）。
2.6K20发布于 2020-09-14 - 来自专栏绿盟科技安全情报
【安全更新】微软5月安全更新多个产品高危漏洞通告
Code、Internet Explorer等广泛使用的产品，其中包括远程代码执行和权限提升等高危漏洞类型。 绿盟远程安全评估系统（RSAS）已具备微软此次补丁更新中大多数漏洞的检测能力（包括CVE-2021-26419、CVE-2021-31166、CVE-2021-31194、CVE-2021-28476等高危漏洞 （CVE-2021-31194）： 此漏洞存在于Windows OLE中，攻击者搭建一个恶意的网站诱导用户访问，通过Web浏览器调用OLE自动化利用此漏洞，从而实现远程代码执行。 Business and Lync 远程代码执行漏洞 Important Windows CVE-2021-28465 Web Media Extensions 远程代码执行漏洞 Important -31936 Microsoft Accessibility Insights for Web 信息披露漏洞 Important Exchange Server CVE-2021-31207 Microsoft
1.6K20发布于 2021-05-14 - 来自专栏绿盟科技安全情报
【安全更新】微软12月安全更新多个产品高危漏洞通告
通告编号:NS-2020-0071 2020-12-09 TAG： 安全更新、Windows、Office、Exchange Server、Visual Studio 漏洞危害： 攻击者利用本次安全更新中的漏洞 Server、Visual Studio等广泛使用的产品，其中包括远程代码执行和权限提升等高危漏洞类型。 本月微软月度更新修复的漏洞中，严重程度为关键（Critical）的漏洞有9个，重要（Important）漏洞有47个，2个 中危（Moderate）级别漏洞。 CVE-2020-17142、CVE-2020-17121、CVE-2020-17131等高危漏洞），请相关用户关注绿盟远程安全评估系统系统插件升级包的更新，及时升级至V6.0R02F01.2011，官网链接 （CVE-2020-17121）： Microsoft SharePoint存在一个远程代码执行漏洞，在默认配置下，经过身份验证的攻击者通过发送特制请求包，可在SharePoint Web应用程序服务器上执行任意
1.9K10发布于 2020-12-14 - 来自专栏低代码平台
【高危安全通告】fastjson≤1.2.80反序列化漏洞
近日Fastjson Develop Team发布安全公告，Fastjson≤1.2.80版本中存在反序列化漏洞。攻击者可绕过默认autoType关闭限制，攻击远程服务器，风险影响较大。 fastjson已使用黑白名单用于防御反序列化漏洞，经研究该利用在特定条件下可绕过默认autoType关闭限制，攻击远程服务器，风险影响较大。 官方安全建议 1.升级到最新版本1.2.83 https://github.com/alibaba/fastjson/releases/tag/1.2.83 该版本涉及autotype行为变更， 1.2.83修复了此次发现的漏洞，开启safeMode是完全关闭autoType功能，避免类似问题再次发生，这可能会有兼容问题，请充分评估对业务影响后开启。 3.可升级到fastjson v2 https://github.com/alibaba/fastjson2/releases
1.5K30编辑于 2022-05-25 - 来自专栏绿盟科技安全情报
【安全更新】微软1月安全更新多个产品高危漏洞通告
通告编号:NS-2021-0001 2021-01-13 TAG： 安全更新、Windows、Office、SQL Server、Visual Studio、Defender 漏洞危害： 攻击者利用本次安全更新中的漏洞 版本： 1.0 1 漏洞概述 北京时间1月13日，微软发布1月安全更新补丁，修复了83个安全问题，涉及Microsoft Windows、Microsoft Office、Microsoft SQL Server、Visual Studio、Microsoft Defender等广泛使用的产品，其中包括远程代码执行和权限提升等高危漏洞类型。 2021-1666，CVE-2021-1665，CVE-2021-1660，CVE-2021-1658等高危漏洞），请相关用户关注绿盟远程安全评估系统系统插件升级包的更新，及时升级至V6.0R02F01.2101 攻击者可通过多种方式利用此漏洞，在基于Web的攻击情形中，攻击者可诱导用户打开电子邮件附件或单击电子邮件或即时消息中的链接来访问利用此漏洞的恶意网站；在文件共享攻击情形中，攻击者可诱导用户打开利用此漏洞的特制文件
1.6K20发布于 2021-01-18 - 来自专栏绿盟科技安全情报
【安全更新】微软4月安全更新多个产品高危漏洞通告
通告编号:NS-2021-0015 2021-04-14 TAG： 安全更新、Windows、Office、Exchange、Edge、Visual Studio 漏洞危害： 攻击者利用本次安全更新中的漏洞 版本： 1.0 1 漏洞概述 4月14日，微软发布4月安全更新补丁，修复了114个安全漏洞，涉及Windows、Office、Edge (Chromium-based) 、Visual Studio Code、Exchange Server、Visual Studio、Azure等广泛使用的产品，其中包括远程代码执行和权限提升等高危漏洞类型。 Mapper Service 权限提升漏洞 Important Windows CVE-2021-27092 Azure AD Web Sign-in 安全功能绕过漏洞 Important Windows 声明 本安全公告仅用来描述可能存在的安全问题，绿盟科技不为此安全公告提供任何保证或承诺。
1K30发布于 2021-04-26 - 来自专栏安恒信息
关于zabbix存在SQL注入高危漏洞的安全公告
近日，国家信息安全漏洞共享平台（CNVD）收录了zabbix存在的SQL注入漏洞（CNVD-2016-06408）。 攻击者利用漏洞无需授权登录即可控制zabbix管理系统，或通过script等功能直接获取zabbix服务器的操作权限，进而有可能危害到用户单位整个网络系统的运行安全。 一、漏洞情况分析 zabbix是一个基于WEB界面的提供分布式系统监视以及网络监视功能的企业级开源解决方案。 由于zabbix默认开启了guest权限，且默认密码为空，导致zabbix的jsrpc中profileIdx2参数存在insert方式的SQL注入漏洞。 攻击者利用漏洞无需登录即可获取网站数据库管理员权限，或通过script等功能直接获取zabbix服务器的操作系权限。CNVD对该漏洞的综合评级为“高危”。
1.4K60发布于 2018-04-11 - 来自专栏绿盟科技安全情报
【安全更新】微软3月多个产品高危漏洞通告
Server、Internet Explorer、Visual Studio等广泛使用的产品，其中包括远程代码执行和权限提升等高危漏洞类型。 2021-26857、CVE-2021-26867、CVE-2021-26876、CVE-2021-26897、CVE-2021-26902、CVE-2021-27065、CVE-2021-21300等高危漏洞 该漏洞曾被黑客组织用于针对专业安全研究者的APT攻击，目前漏洞细节已公开。 启用安全区域更新可部分缓解此漏洞，但攻击者依然可以通过加入域的计算机攻击启用了安全区域更新的DNS服务器。目前该漏洞细节已公开。 (Server Core installation) Windows Server 2012 R2 4漏洞防护 4.1 补丁更新 目前微软官方已针对受支持的产品版本发布了修复以上漏洞的安全补丁，强烈建议受影响用户尽快安装补丁进行防护
95010发布于 2021-03-18 - 来自专栏FreeBuf
GitLab 通过安全更新修复了帐户接管高危漏洞
据Bleeping Computer网站6月3日消息，GitLab 为其社区版和企业版产品的多个版本发布了关键安全更新，以解决8个漏洞问题，其中一个为账户接管的高危漏洞。 ，然后通过 SCIM 将这些用户的电子邮件地址更改为攻击者控制的电子邮件地址，因此，在没有 2FA 的情况下，攻击者能接管这些帐户，还可以更改目标帐户的显示名称和用户名。 但若目标帐户上存在双因素身份验证 (2FA) ，则可以减少其滥用的概率。 安全更新的其他7个漏洞包含对另外两个高严重性缺陷的修复，一个是 Jira 集成组件中的跨站点脚本 (XSS) 问题，被跟踪为 CVE-2022-1940；评分为为 7.7；另一个是缺少输入验证漏洞，允许在联系人列表详细信息中注入 其余5个漏洞分别是IP白名单绕过问题、Web端授权不当、群组成员访问不当和锁绕过问题。
68330编辑于 2023-03-30 - 来自专栏Java技术栈
Tomcat 爆出高危漏洞！
一、漏洞背景 安全公告编号：CNTA-2020-0004 2020年02月20日， 360CERT 监测发现 国家信息安全漏洞共享平台(CNVD) 收录了 CNVD-2020-10487 Apache CNVD-2020-10487/CVE-2020-1938是文件包含漏洞，攻击者可利用该高危漏洞读取或包含 Tomcat 上所有 webapp 目录下的任意文件，如：webapp 配置文件或源代码等。 CNVD 对该漏洞的综合评级为“高危”。 二、影响版本 1、Apache Tomcat 9.x < 9.0.31 2、Apache Tomcat 8.x < 8.5.51 3、Apache Tomcat 7.x < 7.0.100 4、Apache ：读取到/WEB-INF/web.xml文件 3.4 命令执行 当在处理 jsp 请求的uri时，会调用 org.apache.jasper.servlet.JspServlet#service() 最后会将
2.8K20发布于 2020-02-27 - 来自专栏mall学习教程
Tomcat 爆出高危漏洞！
转载自：www.anquanke.com/post/id/199448 一、漏洞背景 安全公告编号：CNTA-2020-00042020年02月20日， 360CERT 监测发现 国家信息安全漏洞共享平台 CNVD-2020-10487/CVE-2020-1938是文件包含漏洞，攻击者可利用该高危漏洞读取或包含 Tomcat 上所有 webapp 目录下的任意文件，如：webapp 配置文件或源代码等。 CNVD 对该漏洞的综合评级为“高危”。 二、影响版本 1、Apache Tomcat 9.x < 9.0.31 2、Apache Tomcat 8.x < 8.5.51 3、Apache Tomcat 7.x < 7.0.100 4、Apache img 漏洞演示：读取到/WEB-INF/web.xml文件 ?
99200发布于 2020-03-16 - 来自专栏运维监控日志分析
liblzmaxz 后门高危漏洞
2024年3月29日，开源软件liblzma/xz 5.6.0及5.6.1版本存在安全漏洞，该项目被发现存在后门，这些恶意代码旨在允许SSH未经授权的访问，sshd pubkey登录后门。 作为一款流行的压缩软件，liblzma/xz被各Linux发行版广泛使用，因此此安全漏洞的影响面较广。 漏洞危害等级：高危。 漏洞影响范围：5.6.0<=xz-utils<=5.6.1。 它使用 LZMA2 压缩算法，生成的压缩文件比 POSIX 平台传统使用的 gzip、bzip2 生成的压缩文件更小，而且解压缩速度也很快。 Red Hat 现正跟踪这一供应链安全问题，将其命名为 CVE-2024-3094，并将其严重性评分定为 10/10，同时在 Fedora 40 测试版中恢复使用 5.4.x 版本的 XZ。 Debian 安全团队发布公告，表示当前没有发现有稳定版 Debian 使用问题 XZ 软件包，在受影响的 Debian 测试版、不稳定版和实验版中，XZ 已被还原为上游的 5.4.5 代码。
87810编辑于 2024-04-02
腾讯云开发者
Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有
深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 
粤公网安备44030502008569号
腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号